PHP Tambal Dua Celah Kritis: Pengelola Website Diminta Segera Update

Tim pengembang PHP merilis pembaruan keamanan pada 21 Oktober 2026 untuk menutup dua kerentanan kritis yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Pengelola website diminta segera memperbarui runtime PHP yang melayani permintaan web. Rilis perbaikannya adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, sebagaimana diumumkan melalui peringatan resmi PHP.

Dua celah tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memiliki skor CVSS v4.0 sebesar 9,2 dengan tingkat keparahan kritis pada advisori proyek PHP. Dampaknya berkaitan dengan pengelolaan memori dan status internal antar-request, sehingga pembaruan aplikasi saja tidak menggantikan patch pada PHP yang menjalankannya. Rincian teknis tersedia dalam advisori CVE-2026-109618 dan advisori CVE-2026-109619.

Apa yang diperbaiki dalam rilis keamanan ini?

CVE-2026-109618 berhubungan dengan penanganan kehabisan memori atau out-of-memory (OOM). Pada kondisi tertentu, PHP dapat menghentikan proses ketika data internal sebuah request belum selesai disiapkan. Tahap pembersihan request kemudian dapat memperlakukan data yang belum valid itu seolah-olah sudah siap digunakan. Menurut advisori pengembang PHP, kondisi ini dapat berujung pada eksekusi kode jarak jauh.

CVE-2026-109619 melibatkan status global yang tertinggal pada worker PHP setelah memori milik request sebelumnya dibebaskan. Request berikutnya yang ditangani worker yang sama dapat mengakses status tersebut sebelum inisialisasi normal menggantinya. Ini merupakan masalah use-after-free: program masih menggunakan referensi ke memori yang sudah dilepas. Advisori resminya menjelaskan bahwa jalur yang dapat dieksploitasi bergantung pada operasi, konfigurasi, dan status internal yang terlibat.

Eksekusi kode jarak jauh atau remote code execution (RCE) berarti penyerang dapat menjalankan kode di lingkungan server yang terdampak. Dalam pengujian yang dikonfirmasi proyek PHP, hak aksesnya mengikuti akun worker web. Artinya, cakupan akses penyerang bergantung pada izin akun tersebut; laporan ini tidak otomatis berarti penyerang mendapat akses administrator sistem. Batas dampak itu dijelaskan pada bagian impact dalam advisori PHP.

Konfigurasi website mana yang berisiko?

Peringatan PHP.net mencakup instalasi PHP yang melayani request web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tim PHP menempatkan mod_php sebagai konfigurasi berisiko paling tinggi karena eksploitasi yang didemonstrasikan dapat dipicu sebelum kode aplikasi mulai berjalan.

Namun, bukti eksploitasi perlu dibaca per celah. Untuk CVE-2026-109618, analisis kode menunjukkan PHP-FPM rentan, tetapi advisori belum melaporkan demonstrasi eksploit FPM yang lengkap. Untuk CVE-2026-109619, jalur terkait siklus sesi sudah divalidasi pada mod_php dan FPM; pada FPM, keberhasilannya bergantung pada operasi aplikasi yang sesuai. Perbedaan ini tercantum dalam advisori OOM dan advisori status global.

Bagi pemilik website, implikasinya adalah meminta pemeriksaan runtime pada hosting, termasuk layanan yang dikelola pihak lain. CERT-EU mengingatkan bahwa produk komersial maupun sumber terbuka yang memakai PHP sebagai backend juga dapat terdampak. Karena itu, pengguna produk tersebut perlu memeriksa pemberitahuan vendor, bukan hanya versi CMS atau plugin yang terlihat di dashboard. Lihat advisori CERT-EU 2026-018.

Versi PHP yang memuat perbaikan

Versi berikut memuat patch untuk kedua CVE ini pada masing-masing cabang yang masih didukung. Nomor ini adalah rilis perbaikan yang diumumkan pada 21 Oktober 2026, bukan jaminan bahwa sebuah server sudah diperbarui hanya karena memakai cabang PHP 8.2 atau yang lebih baru. Rujukan versi: pengumuman PHP.

• PHP 8.5: perbarui ke 8.5.12 atau rilis berikutnya yang memuat perbaikan.
• PHP 8.4: perbarui ke 8.4.27 atau rilis berikutnya yang memuat perbaikan.
• PHP 8.3: perbarui ke 8.3.36 atau rilis berikutnya yang memuat perbaikan.
• PHP 8.2: perbarui ke 8.2.35 atau rilis berikutnya yang memuat perbaikan.

PHP 8.1 dan versi yang lebih lama sudah tidak menerima pembaruan reguler dari proyek PHP. Untuk insiden ini, tim keamanan menyediakan backport kode sumber minimal bagi PHP 7.4, 8.0, dan 8.1. Langkah khusus tersebut tidak mengembalikan status dukungan reguler cabang lama. Pengguna perlu mengonfirmasi patch dari distributor atau penyedia dukungan jangka panjang, sekaligus merencanakan migrasi ke versi yang didukung. Penjelasan tersedia pada peringatan PHP dan rekomendasi CERT-EU.

Nomor paket distribusi juga perlu dibaca bersama advisori vendornya. Sebagian penyedia melakukan backport perbaikan ke paket mereka, sehingga pemeriksaan tidak cukup hanya membandingkan nomor versi upstream. PHP menyatakan distributor Linux dan vendor dukungan jangka panjang telah menerima patch lebih awal; pengguna harus memeriksa ketersediaan paket yang sesuai pada penyedianya. Sumber: PHP.net.

Sudah dieksploitasi atau baru sebatas kemungkinan?

Advisori proyek PHP mengonfirmasi demonstrasi RCE pada konfigurasi tertentu. Demonstrasi teknis tersebut perlu dibedakan dari bukti bahwa seluruh konfigurasi dapat diserang dengan cara yang sama atau bahwa setiap website rentan sudah diretas. Kondisi worker, build PHP, ekstensi, aplikasi, dan konfigurasi memengaruhi jalur serta keandalan serangan. Lihat bagian impact pada advisori OOM dan advisori status global.

Dalam pembaruan advisori bertanggal 21 Oktober 2026, CERT-EU menyebut detail teknis mulai dibahas secara publik dan proof of concept awal mulai beredar. Lembaga itu menilai perkembangan tersebut meningkatkan kemungkinan eksploitasi oleh penyerang. Pernyataan itu menunjukkan urgensi patch, tetapi tidak menetapkan jumlah korban atau membuktikan kompromi pada website tertentu. Rujukan: CERT-EU 2026-018.

Langkah yang perlu dilakukan pengelola website

Rekomendasi utama PHP dan CERT-EU adalah menerapkan pembaruan sesegera mungkin. Berikut urutan kerja operasional yang disarankan redaksi agar pemilik website dapat menindaklanjuti rekomendasi tersebut bersama pengelola server atau penyedia hosting.

1. Inventarisasi website dan layanan yang menjalankan PHP. Catat cabang, versi paket, mode eksekusi, serta pihak yang bertanggung jawab memperbaruinya.
2. Periksa paket perbaikan melalui kanal resmi sistem operasi, panel hosting, atau vendor. Siapkan backup dan uji alur utama aplikasi sebagai bagian dari prosedur perubahan.
3. Terapkan paket yang memuat patch kedua CVE. Pastikan proses PHP yang melayani website dimulai ulang sesuai prosedur vendor agar worker lama tidak terus berjalan.
4. Verifikasi versi dan status patch pada runtime web yang benar-benar aktif. Pada server dengan beberapa versi PHP, pemeriksaan PHP di terminal saja dapat melewatkan versi berbeda yang dipakai website.
5. Uji login, formulir, unggah berkas, dan alur transaksi yang digunakan aplikasi. Tinjau log kegagalan dan tindak lanjuti indikasi gangguan melalui pengelola server.

Untuk hosting bersama, pemilik website dapat meminta konfirmasi tertulis bahwa runtime situsnya sudah menerima perbaikan CVE-2026-109618 dan CVE-2026-109619. Konfirmasi sebaiknya mencakup paket yang digunakan serta aktivasi pembaruannya, sehingga pemeriksaan memiliki bukti yang bisa ditelusuri.

Jika patch belum bisa langsung diterapkan

CERT-EU menyarankan organisasi mempertimbangkan isolasi aplikasi yang menghadap internet dari jaringan publik sampai perbaikannya diterapkan dan diverifikasi. PHP juga menegaskan bahwa perubahan konfigurasi sementara hanya mengurangi jalur serangan tertentu dan tidak menggantikan pembaruan. Rujukan: CERT-EU.

Sebagai contoh, mematikan session.upload_progress.enabled dapat memutus jalur sesi yang didemonstrasikan untuk CVE-2026-109619, tetapi tidak mencakup seluruh variasi status global. Mitigasi lain memiliki syarat dan konsekuensi operasional masing-masing, sehingga harus ditinjau administrator melalui advisori resmi PHP. Jangan menganggap website sudah terlindungi hanya karena pesan error disembunyikan; advisori menjelaskan bahwa menonaktifkan tampilan atau pencatatan error tidak menutup celah tersebut.

Sumber dan catatan verifikasi

Artikel ini disusun berdasarkan sumber primer yang diperiksa pada 22 Oktober 2026. Tanggal rilis patch adalah 21 Oktober 2026. Penjelasan teknis, versi, serta batas bukti eksploitasi mengikuti advisori yang tersedia saat pemeriksaan; status paket vendor dan laporan eksploitasi dapat berkembang setelahnya.

• PHP.net: peringatan keamanan dan panduan pembaruan.
• Proyek PHP: RCE via OOM corruption, CVE-2026-109618.
• Proyek PHP: RCE via stale global state, CVE-2026-109619.
• CERT-EU: Security Advisory 2026-018.