Alternatif untuk WordPress yang terinspirasi oleh kerentanan PHP

Masalahnya kali ini ada di PHP yang merupakan fondasi WordPress.

WordPress adalah perangkat lunak untuk memposting dan mengelola artikel. Salah satu mekanisme yang mendukung operasi ini adalah PHP yang berjalan di server.

Pada bulan Oktober 2026, kerentanan serius berikut pada PHP diumumkan. Kerentanan adalah kelemahan perangkat lunak yang dapat dieksploitasi dalam suatu serangan.

• CVE-2026-109618:Saat pemrosesan terhenti karena memori tidak mencukupi, pascapemrosesan akan menangani data internal yang tidak lengkap.
• CVE-2026-109619: Masalah ketika informasi internal yang mengarah ke memori yang telah digunakan tetap ada, dan permintaan berikutnya merujuk ke informasi lama.

Kondisi mungkin mengizinkan pihak eksternal untuk mengeksekusi kode arbitrer di server Anda. Ini merupakan masalah tersendiri dari WordPress itu sendiri, jadi selain memperbarui WordPress dan plugin, Anda juga perlu memeriksa perbaikan di sisi PHP.

Versi perbaikan pertama kali disediakan adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Silakan periksa instruksi dari perusahaan hosting atau penyedia OS Anda untuk dukungan sebenarnya. Selain nomor versi, Anda perlu memeriksa apakah penyedia telah menerapkan perbaikan apa pun.

Referensi: IPA: Kerentanan dan penanggulangan PHP saat ini / Resmi PHP: OOM masalah pemrosesan ／ Pejabat PHP: Masalah dengan status internal lama yang tersisa

Sebelum mencari alternatif, atur gaya penulisan artikel Anda dan fitur-fitur yang diperlukan

Yang ingin saya mulai perbandingannya adalah bagaimana saya biasanya memperbarui. Apakah Anda ingin menulis dari ponsel cerdas Anda atau dapatkah Anda mengedit file di komputer Anda? Apakah Anda memerlukan komentar, pendaftaran keanggotaan, dan fungsi penjualan? Pilihan Anda akan berubah.

Opsi 1: Lanjutkan dengan WordPress dan tinjau pemeliharaan

Jika Anda merasa layar pengeditan saat ini dan fitur-fiturnya nyaman untuk digunakan, Anda memiliki opsi untuk melanjutkan. Plugin adalah komponen yang menambah fungsionalitas. Putuskan siapa yang akan bertanggung jawab untuk memperbarui unit utama, plugin, tema, dan PHP, serta prosedur pemulihan dari cadangan.

Saat mempercayakan pemeliharaan kepada perusahaan pemeliharaan atau layanan terkelola, periksa ruang lingkup pekerjaannya, termasuk apakah mereka mampu menangani masalah plug-in dan pemulihan.

Referensi: Panduan keamanan resmi WordPress

Opsi 2: Gunakan CMS terkelola atau layanan pembuatan situs

CMS adalah sistem yang memungkinkan Anda membuat dan mengelola artikel dari browser. Jika ini adalah layanan terkelola, Anda mungkin dapat menyerahkan pemeliharaan server, dll. kepada operator. Ruang lingkup tanggung jawab bervariasi tergantung pada layanan.

Selain layar pengeditan, kemudahan penggunaan dalam bahasa Jepang, fungsi-fungsi yang diperlukan, dan harga, kami akan memeriksa apakah Anda dapat mengekspor artikel dan gambar dan pindah ke layanan lain. Kami tidak akan memberi peringkat pada layanan tertentu dalam hal keamanan di sini.

Opsi 3: Jadikan situs statis

Situs statis adalah metode mendistribusikan halaman yang sudah jadi. Situs yang sebagian besar mempublikasikan teks dan gambar adalah kandidat. Sebaliknya, layar postingan harus disiapkan secara terpisah.

Ada cara untuk mengedit langsung file halaman yang disebut HTML, menggunakan alat yang menghasilkan halaman dari manuskrip, dan menggabungkannya dengan CMS untuk mengedit. Semakin Anda mengimbangi kemudahan pembaruan, semakin banyak mekanisme yang harus Anda pertahankan.

Kurangi serangan terlebih dahulu dengan WAF Cloudflare

Cloudflare memiliki WAF yang memeriksa komunikasi mencurigakan sebelum situs. Ia memainkan peran yang mirip dengan keamanan di meja resepsionis, dan dapat memblokir komunikasi yang menyerupai serangan yang diketahui, dan membatasi akses berdasarkan sumber atau berapa kali komunikasi tersebut dikirimkan.

Gratis memiliki aturan untuk beberapa ancaman, dan Pro dan yang lebih baru memiliki aturan terkelola yang lebih luas. Aturan terkelola adalah aturan penilaian yang disiapkan dan diperbarui oleh Cloudflare. Penanggulangan DDoS adalah tindakan penanggulangan terhadap serangan yang membuat situs tidak dapat digunakan karena banyaknya lalu lintas.

Aturan perlindungan untuk kerentanan PHP ini juga telah dipublikasikan. Namun, ada kondisi aplikasi tergantung pada pengaturannya, dan ini merupakan tindakan balasan terhadap serangan yang diketahui. Tidak dapat disimpulkan bahwa jika Anda menggunakan Cloudflare, Anda tidak perlu mengupdate PHP.

Referensi: Perbandingan fitur WAF / Penanggulangan dan ketentuan WAF untuk kerentanan PHP ini

Jika server asli terletak terpisah, tindakan juga diperlukan untuk mencegah melewati WAF dengan mengakses server tersebut secara langsung. Bahkan untuk situs statis, pertimbangkan masalah seperti pembajakan akun publik, masalah dengan layanan eksternal, dan pengiriman formulir yang tidak diminta.

Ajukan pertanyaan dan biarkan Cloudflare menanganinya.

Ini tidak berarti bahwa Anda tidak dapat mengajukan pertanyaan di situs statis. Halaman tetap statis, dan Anda hanya dapat menambahkan pemrosesan ke bagian yang menerima pertanyaan.

Pekerja adalah layanan yang menjalankan program kecil seperti penerimaan formulir di Cloudflare. Pintu putar adalah mekanisme untuk mengurangi pengiriman oleh bot, dan Layanan Email bertanggung jawab untuk mengirimkan email pemberitahuan.

Mengirim email gratis jika Anda hanya ingin memberi tahu alamat administrator yang terverifikasi. Untuk membalas pertanyaan secara otomatis, gunakan Pengiriman Email dan Berbayar Pekerja, yang dapat dikirim ke penerima mana pun. Pengiriman Email masih dalam versi beta pada saat konfirmasi informasi.

Perutean Email adalah layanan yang meneruskan email yang dialamatkan ke domain Anda sendiri ke kotak masuk yang ada. Itu tidak menyediakan kotak masuk untuk membaca email. Selain itu, memberi tahu administrator dari formulir dan meneruskan email ke domain Anda sendiri adalah fungsi yang terpisah.

Untuk menghindari kehilangan pertanyaan, kami juga merancang panduan jika terjadi kegagalan transmisi, penanganan transmisi ulang, dan konfirmasi penerimaan. Penting juga untuk tidak meminta terlalu banyak informasi rahasia dalam formulir, dan memutuskan di mana menyimpannya, siapa yang dapat melihatnya, dan berapa lama akan disimpan. Jika Anda sudah memiliki layanan email, pastikan Anda tidak mengubah pengaturan DNS yang menentukan penerima secara tidak sengaja.

Pintu putar memerlukan JavaScript di browser Anda. Kami akan memberi Anda metode kontak alternatif sehingga Anda dapat menghubungi kami meskipun permintaan tidak valid atau transmisi gagal. Teks situs dan daftar isi dapat dipisahkan dari formulir dan dikonfigurasi agar dapat dibaca dalam HTML biasa.

Referensi: Cara memvalidasi Pintu Putar / Ikhtisar Layanan Email / Konfigurasi email penerusan

Berapa biayanya untuk pemakaian umum/korporat?

Berikut ini adalah contoh konfigurasi dengan asumsi situs statis dengan satu domain dan formulir pertanyaan kecil. Tidak termasuk layanan tambahan seperti layar posting CMS, fungsi keanggotaan/pembayaran, penyimpanan lampiran, pemantauan/pengiriman ulang. Jika Anda ingin tetap menggunakan WordPress, Anda harus membayar servernya secara terpisah.

Jumlahnya dalam dolar AS per 25 Oktober 2026. Pajak, nilai tukar, perolehan dan pembaruan domain unik, kotak masuk, serta biaya tenaga kerja untuk produksi dan pemeliharaan tidak termasuk. Anggap saja sebagai ``biaya bulanan minimum + jumlah di luar penggunaan yang disertakan''.

Penggunaan umum: Jika Anda hanya ingin memberi tahu administrator, mulailah dengan tingkat gratis.

Untuk blog pribadi, situs hobi, dll, alangkah baiknya jika bisa melihat pertanyaan di kotak masuk Anda sendiri. Tidak akan ada balasan otomatis, dan hasil transmisi akan ditampilkan di layar.

Apakah tingkat gratis mencukupi tidak hanya bergantung pada jumlah akses, namun juga pada waktu pemrosesan dan implementasi. Meskipun email pemberitahuan ke administrator gratis, ada batasan lain dalam pelaksanaan program penerimaan.

Penggunaan korporat: Tambahkan balasan otomatis dan WAF berbayar

Ini adalah contoh mengembalikan email penerimaan ke penanya dan menggunakan aturan WAF yang lebih luas. Ini tidak berarti bahwa Anda memerlukan rencana ini hanya karena Anda adalah sebuah perusahaan. Pilih berdasarkan peran situs dan dampak pemadaman.

Pekerja Berbayar termasuk tunjangan pengiriman email bulanan sebesar 3.000 email dengan harga dasar minimum $5/bulan. Kelebihannya adalah $0,35 per 1.000 email. Pengiriman ke administrator yang dikonfirmasi tidak termasuk dalam frame ini. Karena pengiriman ulang dan keperluan lainnya juga menggunakan kuota pengiriman, tidak ada jaminan kami dapat menerima 3.000 pertanyaan.

Perbandingan termasuk pembayaran tahunan dan Bisnis

Pembayaran tahunan untuk Pro adalah $240/tahun, dan pembayaran tahunan untuk Bisnis adalah $2.400/tahun. Minimal $5/bulan untuk Pekerja dan kelebihan penggunaan akan dikenakan biaya terpisah. Ini bukan kontrak di mana Anda membayar jumlah setara bulanan yang ditunjukkan dalam tabel setiap bulannya.

Bisnis memiliki SLA (perjanjian kontrak mengenai uptime) untuk paket situs web, namun hal ini tidak menjamin keseluruhan sistem, termasuk pemrosesan formulir dan pengiriman email. Jika pengoperasian berkelanjutan itu penting, evaluasi deteksi kegagalan, pemulihan kegagalan, dan penanganan fitur beta.

Permintaan file statis gratis dan tidak terbatas, namun ada batasan pada jumlah file, kapasitas, dll. WAF diasumsikan disetel ke rute yang berlaku seperti domain target sendiri, dan harus berhati-hati saat mengakses dari URL publik lain.

• Harga paket situs web
• Harga pekerja
• Biaya pengiriman/penerusan email
• Harga pintu putar
• Biaya dan batasan pengiriman statis
• Pengiriman statis halaman/Harga fungsi
• Batas Penggunaan Pekerja
• Batas Penggunaan Halaman

Sebelum bermigrasi, periksa apakah akan ada masalah sebelum mempertimbangkan harga.

Jika pembaruan setiap saat menjadi beban setelah migrasi, maka akan sulit untuk terus menggunakan situs ini. Menurut kami, merupakan ide bagus untuk mencoba memposting dan menerbitkan sejumlah kecil artikel terlebih dahulu.

• Pembaruan:Dapatkah penanggung jawab menulis artikel, menambahkan gambar, dan mempublikasikannya?
• Halaman yang ada:Dapatkah URL sebelumnya dipertahankan? Jika saya ingin mengubahnya, apakah saya bisa dipandu/dialihkan dari URL yang lama?
• Fungsi terlampir:Cara memindahkan komentar, pencarian, kategori, RSS, formulir, dll.
• Pemulihan:Jika Anda memublikasikan konten yang salah, dapatkah Anda kembali ke keadaan sebelumnya?
• Ekspor: Bisakah artikel dan gambar dicadangkan dan dipindahkan ke tempat lain di masa mendatang?
• Manajemen:Dapatkah akun dikelola oleh banyak orang? Bisakah saya mengatur autentikasi multifaktor?

Ada juga cara untuk terus menggunakan WordPress dan menyiapkan sistem pemeliharaan. Anda dapat menyerahkannya pada layanan terkelola, atau Anda dapat membuat sisi penerbitan menjadi statis. Saya ingin memilih konfigurasi yang sesuai dengan situs saya dengan memeriksa fungsi yang diperlukan dan cakupan pembaruan dan pemeliharaan berkelanjutan.