PHP Foundation Rilis Patch untuk Celah RCE, Ini Versi yang Harus Diperbarui

WartaCuan,com - PHP Foundation merilis pembaruan keamanan untuk memperbaiki dua celah kritis pada bahasa pemrograman PHP yang berpotensi memungkinkan peretas menjalankan kode di server dari jarak jauh tanpa perlu login. Pengguna diminta segera memperbarui PHP ke versi terbaru yang telah diperbaiki untuk mencegah risiko serangan.

Dua kerentanan tersebut tercatat dengan nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya diperbaiki melalui pembaruan PHP versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang dirilis pada Rabu (21/10/2026).

Dalam blog resminya, PHP Foundation menjelaskan bahwa jadwal rilis tambalan keamanan dimajukan satu hari setelah nomor identitas kedua kerentanan beredar di internet pada Selasa (20/10/2026). Informasi yang bocor tersebut mencantumkan jadwal rilis dan skor keparahan yang tidak sesuai dengan informasi resmi.

Menurut PHP Foundation, kedua celah tersebut dapat memicu serangan remote code execution (RCE), yakni kondisi ketika penyerang dapat menjalankan kode pada server target dari jarak jauh. Risiko ini menjadi perhatian karena PHP digunakan secara luas untuk menjalankan situs web dan aplikasi berbasis web.

Situs resmi PHP menyebut seluruh instalasi PHP yang melayani permintaan web berpotensi terdampak, termasuk penggunaan PHP-FPM, Apache dengan modul mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada konfigurasi Apache mod_php, karena serangan yang telah didemonstrasikan dapat dipicu melalui permintaan tanpa autentikasi sebelum kode aplikasi dijalankan. (PHP.net, NHS England Digital)

Dua celah berasal dari masalah pengelolaan memori

Celah pertama, CVE-2026-109618, berkaitan dengan kesalahan pengelolaan memori ketika PHP mengalami kondisi out of memory (OOM), yaitu saat program tidak memiliki cukup memori untuk melanjutkan proses.

Dalam kondisi tertentu, kegagalan alokasi memori dapat menghentikan proses inisialisasi ketika sebagian data internal permintaan belum selesai disiapkan. Ketika PHP kemudian membersihkan proses tersebut, data yang belum valid berpotensi diperlakukan seolah-olah sudah siap digunakan.

Kesalahan ini dapat menyebabkan kerusakan memori dan membuka peluang bagi penyerang untuk menjalankan kode berbahaya di server.

Sementara itu, CVE-2026-109619 berkaitan dengan kesalahan pengelolaan status internal program yang masih menunjuk ke memori setelah memori tersebut dilepaskan.

Kondisi ini dikenal sebagai use-after-free, yakni ketika program kembali mengakses memori yang seharusnya sudah tidak digunakan. Situasi tersebut dapat memicu perilaku yang tidak semestinya dan berpotensi dimanfaatkan untuk menjalankan kode dari jarak jauh.

Secara sederhana, kondisi ini dapat diibaratkan seperti kunci kamar hotel yang masih bisa digunakan meskipun tamunya sudah check-out. Program seolah-olah masih memiliki akses ke ruang memori yang sebenarnya sudah tidak tersedia.

PHP Foundation menyebut serangan RCE melalui kedua celah telah berhasil didemonstrasikan pada server Apache yang menggunakan mod_php. Untuk CVE-2026-109618, analisis juga menunjukkan potensi kerentanan pada jalur PHP-FPM tertentu.

PHP-FPM merupakan mekanisme yang memungkinkan server menjalankan kode PHP melalui proses pengelolaan terpisah.

Jejak masalah terlihat sejak audit 2024

PHP Foundation mengungkapkan bahwa tanda awal masalah ini telah terlihat sejak audit keamanan eksternal PHP pada 2024. Ketika memperbaiki salah satu temuan audit, seorang pengembang menemukan indikasi masalah kehabisan memori.

Namun, saat itu belum ditemukan cara untuk mengeksploitasi kondisi tersebut sehingga prioritas perbaikannya diturunkan.

Proses perbaikan kemudian tertunda selama berbulan-bulan karena tim keamanan mempertimbangkan sejumlah pilihan teknis. Setiap opsi memiliki konsekuensi, mulai dari risiko gangguan kompatibilitas hingga potensi munculnya serangan denial of service (DoS) dan perubahan terhadap ekstensi pihak ketiga.

"Kami tidak akan menutup-nutupinya. Keterlambatan ini adalah kegagalan struktural. Penyebabnya proses pengambilan keputusan tim keamanan sekaligus kurangnya sumber daya," tulis PHP Foundation.

Pada Juli 2026, perusahaan keamanan siber Calif mulai mengaudit PHP melalui program Patch the Planet milik OpenAI. Pada 11 Agustus, Calif melaporkan kerentanan RCE yang memiliki akar masalah serupa. OpenAI juga melaporkan temuan pada hari yang sama, sementara Wiz dan pihak lain menemukan jalur serangan tambahan.

Sejak 11 Agustus, penanganan masalah tersebut menjadi prioritas utama tim keamanan PHP.

Nomor CVE bocor, jadwal rilis dipercepat

PHP Foundation menyebut nomor identitas kedua kerentanan mulai beredar di internet pada Selasa (20/10/2026) sekitar pukul 22.00 WIB.

CVE atau Common Vulnerabilities and Exposures merupakan sistem penomoran untuk mengidentifikasi kerentanan keamanan yang diketahui publik. Informasi mengenai kerentanan biasanya diumumkan bersama panduan perbaikan dan pembaruan keamanan.

Informasi yang beredar sebelum pengumuman resmi itu ternyata memuat jadwal rilis yang keliru. Skor keparahan juga disebut mencapai 10,0, padahal skor resmi masing-masing kerentanan adalah 9,2 berdasarkan CVSS versi 4.0. Skala tersebut digunakan untuk menggambarkan tingkat keparahan suatu kerentanan.

PHP Foundation menegaskan bahwa yang bocor hanya nomor identitas dan skor keparahan, bukan cara kerja celah keamanannya. Meski demikian, tim memutuskan mempercepat pengumuman dan distribusi pembaruan.

Pengumuman awal dimajukan ke Rabu (21/10/2026) pukul 02.30 WIB, sedangkan tambalan keamanan dirilis pada hari yang sama sekitar pukul 21.00 WIB, lebih cepat sehari dari jadwal semula.

Proses distribusi sempat menghadapi kendala karena sejumlah pengelola distribusi Linux, termasuk Ubuntu dan Debian, masih menyiapkan paket pembaruan. PHP Foundation menyatakan bahwa peluncuran perlu mempertimbangkan kesiapan paket agar pengguna dapat memasang perbaikan dengan lebih mudah.

Situasi semakin rumit setelah Calif tidak sengaja memublikasikan video bukti konsep (proof of concept atau PoC) serangan. Video tersebut kemudian dihapus, tetapi telah telanjur menyebar.

Penyedia image kontainer Chainguard juga merilis paket perangkat lunak yang berisi perbaikan sebelum jadwal rilis terkoordinasi.

Firma keamanan siber Tenable menyebut rangkaian kerentanan ini dengan nama "php2shell". Sementara itu, CTO Cloudflare Dane Knecht mengatakan perusahaannya mulai melihat serangan awal.

Meski demikian, PHP Foundation menyatakan tim keamanan telah memeriksa kode serangan yang beredar dan belum menemukan eksploit yang benar-benar berfungsi hingga pembaruan dirilis.

Pengguna PHP diminta segera memperbarui sistem

PHP Foundation meminta seluruh pengelola sistem yang menjalankan PHP untuk segera memasang pembaruan keamanan. Versi yang telah diperbaiki meliputi:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Pengguna perlu memastikan versi PHP yang benar-benar dijalankan oleh server telah diperbarui. Pembaruan aplikasi seperti WordPress saja tidak otomatis memperbaiki kerentanan apabila lingkungan PHP yang digunakan masih rentan.

Pengelola server juga perlu memeriksa PHP yang dibundel dalam image kontainer, panel pengelolaan, atau perangkat lunak pihak ketiga karena pembaruan PHP pada sistem utama belum tentu memperbarui komponen tersebut.

Adapun PHP 8.1 dan versi yang lebih lama tidak lagi menerima rilis resmi dari proyek PHP. Untuk versi lama tertentu, tim keamanan telah menyediakan tambalan kode sumber minimal yang dapat diterapkan melalui proses backport. Namun, pengguna tetap disarankan bermigrasi ke versi PHP yang masih didukung.

Pembaruan ke versi yang telah diperbaiki merupakan langkah utama untuk menutup kedua celah tersebut. Pengelola sistem yang belum dapat memperbarui PHP perlu mengikuti panduan mitigasi resmi dan mengevaluasi risiko pada server yang masih terpapar internet.