Dua Kerentanan Kritis PHP Memungkinkan Eksekusi Kode Tanpa Autentikasi

Indonesia — Tim PHP merilis pembaruan keamanan untuk dua kerentanan kritis, CVE-2026-109618 dan CVE-2026-109619, pada 21 Oktober 2026. Kerentanan itu dapat memungkinkan penyerang tanpa autentikasi menjalankan kode pada sistem yang terdampak.

Mengapa ini penting: Pengelola layanan web berbasis PHP perlu memperbarui versi 8.2 hingga 8.5 yang terdampak atau bermigrasi dari PHP 5.4 hingga 8.1 yang tidak lagi mendapat perbaikan.

Menurut CERT-EU dan Badan Keamanan Siber Kanada, kedua celah tersebut memiliki skor CVSS 9,2. CVE-2026-109618 berkaitan dengan korupsi memori saat PHP menangani kondisi kehabisan memori, sedangkan CVE-2026-109619 berkaitan dengan penggunaan status internal yang masih menunjuk ke memori yang telah dibebaskan.

Risiko mencakup instalasi PHP yang melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Sistem yang dapat diakses melalui internet menjadi sasaran yang lebih berisiko.

Versi yang telah diperbaiki

PHP menyediakan perbaikan untuk cabang versi 8.2 hingga 8.5. Versi yang telah diperbaiki adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.

AWS menyatakan bahwa versi PHP 5.4 hingga 8.1 tidak lagi memperoleh perbaikan dari proyek PHP. Pengelola sistem pada cabang tersebut perlu bermigrasi ke versi yang masih didukung.

CNPD Luksemburg meminta organisasi yang menggunakan PHP memeriksa sistem mereka dan segera menerapkan pembaruan, dengan memperhatikan patch yang disediakan oleh penerbit perangkat lunak atau penyedia layanan. CERT-EU juga mencantumkan sejumlah mitigasi sementara, tetapi pembaruan ke versi yang telah diperbaiki merupakan langkah utama.

Sumber

• CERT-EU
• Badan Keamanan Siber Kanada
• AWS
• CNN Indonesia
• Bisnis.com
• CNBC Indonesia