Dua Celah Kritis PHP Bisa Dipakai Retas Server dari Jarak Jauh, Segera Update ke Versi 8.5.12

Nusantrika.id - PHP Foundation merilis pembaruan keamanan untuk menutup dua celah kritis di PHP, yaitu CVE-2026-109618 dan CVE-2026-109619, yang berpotensi dipakai peretas menjalankan kode di server dari jarak jauh tanpa perlu login. Tambalan tersedia di PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang dirilis Rabu (21/10/2026). Pengelola server diminta segera memperbarui sistem.

Versi yang Harus Dipasang

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Pengguna perlu memastikan versi PHP yang benar-benar berjalan di server sudah diperbarui. Memperbarui aplikasi seperti WordPress saja tidak cukup jika lingkungan PHP-nya masih rentan. PHP yang dibundel dalam image kontainer, panel pengelolaan, atau perangkat lunak pihak ketiga juga perlu diperiksa, karena pembaruan di sistem utama belum tentu ikut memperbarui komponen tersebut.

PHP 8.1 dan versi lebih lama tidak lagi menerima rilis resmi. Untuk versi lama tertentu, tim keamanan menyediakan tambalan kode sumber minimal yang dapat diterapkan lewat backport, tetapi pengguna tetap disarankan bermigrasi ke versi yang masih didukung. Bagi yang belum bisa memperbarui, ikuti panduan mitigasi resmi dan evaluasi risiko pada server yang terpapar internet.

Siapa yang Terdampak

Kedua celah dapat memicu serangan remote code execution (RCE), yakni penyerang menjalankan kode di server target dari jarak jauh. Situs resmi PHP menyebut seluruh instalasi yang melayani permintaan web berpotensi terdampak, termasuk PHP-FPM, Apache dengan modul mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko paling tinggi ada pada Apache mod_php, karena serangan yang telah didemonstrasikan bisa dipicu lewat permintaan tanpa autentikasi sebelum kode aplikasi berjalan. Serangan RCE lewat kedua celah telah berhasil didemonstrasikan pada server Apache dengan mod_php, sedangkan untuk CVE-2026-109618 analisis juga menunjukkan potensi kerentanan pada jalur PHP-FPM tertentu.

Kronologi: Nomor CVE Bocor, Rilis Dimajukan

Nomor identitas kedua kerentanan beredar di internet pada Selasa (20/10/2026) sekitar pukul 22.00 WIB. Informasi bocor itu memuat jadwal rilis yang keliru dan skor keparahan 10,0, padahal skor resmi masing-masing adalah 9,2 menurut CVSS versi 4.0. PHP Foundation menegaskan yang bocor hanya nomor dan skor, bukan cara kerja celah, tetapi tim tetap mempercepat jadwal.

Pengumuman awal dimajukan ke Rabu (21/10/2026) pukul 02.30 WIB, dan tambalan dirilis pada hari yang sama sekitar pukul 21.00 WIB, sehari lebih cepat dari rencana. Distribusi sempat terkendala karena sejumlah pengelola distribusi Linux seperti Ubuntu dan Debian masih menyiapkan paket, sehingga peluncuran harus mempertimbangkan kesiapan paket agar pengguna lebih mudah memasang perbaikan.

Situasi makin rumit ketika Calif tidak sengaja memublikasikan video bukti konsep (proof of concept/PoC) serangan. Video itu dihapus, tetapi sudah telanjur menyebar. Penyedia image kontainer Chainguard juga merilis paket berisi perbaikan sebelum jadwal rilis terkoordinasi. Tenable menamai rangkaian kerentanan ini “php2shell”, dan CTO Cloudflare Dane Knecht mengatakan perusahaannya mulai melihat serangan awal. Meski begitu, PHP Foundation menyatakan telah memeriksa kode serangan yang beredar dan belum menemukan eksploit yang benar-benar berfungsi hingga pembaruan dirilis.

Dua Celah, Dua Masalah Memori

CVE-2026-109618 berkaitan dengan kesalahan pengelolaan memori saat PHP kehabisan memori (out of memory/OOM). Dalam kondisi tertentu, kegagalan alokasi memori menghentikan inisialisasi ketika sebagian data internal permintaan belum selesai disiapkan. Saat PHP membersihkan proses itu, data yang belum valid bisa diperlakukan seolah sudah siap pakai. Akibatnya memori rusak dan terbuka peluang bagi penyerang menjalankan kode berbahaya.

CVE-2026-109619 menyangkut status internal program yang masih menunjuk ke memori setelah memori itu dilepaskan, kondisi yang dikenal sebagai use-after-free. Program mengakses memori yang seharusnya sudah tidak dipakai, sehingga berpotensi dimanfaatkan untuk eksekusi kode jarak jauh. Analogi sederhananya seperti kunci kamar hotel yang masih bisa dipakai padahal tamunya sudah check-out.

Jejak Masalah Sejak Audit 2024

PHP Foundation mengungkapkan tanda awal masalah sudah terlihat sejak audit keamanan eksternal pada 2024. Saat memperbaiki salah satu temuan audit, seorang pengembang menemukan indikasi masalah kehabisan memori, tetapi belum ada cara mengeksploitasinya sehingga prioritas perbaikan diturunkan. Perbaikan lalu tertunda berbulan-bulan karena tim mempertimbangkan sejumlah opsi teknis dengan konsekuensi masing-masing, mulai dari risiko gangguan kompatibilitas, potensi serangan denial of service (DoS), hingga dampak pada ekstensi pihak ketiga.

“Kami tidak akan menutup-nutupinya. Keterlambatan ini adalah kegagalan struktural. Penyebabnya proses pengambilan keputusan tim keamanan sekaligus kurangnya sumber daya,” tulis PHP Foundation.

Pada Juli 2026, perusahaan keamanan siber Calif mulai mengaudit PHP lewat program Patch the Planet milik OpenAI. Pada 11 Agustus, Calif melaporkan kerentanan RCE dengan akar masalah serupa. OpenAI melaporkan temuan pada hari yang sama, sementara Wiz dan pihak lain menemukan jalur serangan tambahan. Sejak 11 Agustus, penanganan masalah ini menjadi prioritas utama tim keamanan PHP.