INFO TEKNO> Pada 21 Oktober 2026, tim pengembang PHP mengumumkan dua celah keamanan yang berstatus kritis dan berpotensi membuka jalan bagi peretas mengeksekusi kode berbahaya dari jarak jauh tanpa perlu autentikasi.
Celah di PHP itu masing-masing memiliki nomor CVE-2026-109618 dan CVE-2026-109619, dengan skor keparahan CVSS 9,2 dari skala 10.
CVE adalah sistem pengenal publik untuk kerentanan keamanan, sedangkan CVSS menilai tingkat keparahannya pada skala 0 sampai 10.
Tanpa autentikasi, peretas berpotensi beraksi tanpa memegang kredensial login yang sah di server sasaran.
Banyak pengembang memakai PHP, bahasa pemrograman sisi server, untuk membangun situs web serta aplikasi digital. Karena celah berada di komponen inti PHP, dampaknya dapat menjangkau berbagai sistem yang memproses permintaan lewat internet.
Celah pertama berkaitan dengan penanganan yang keliru saat PHP kehabisan memori (out-of-memory).
Celah kedua muncul ketika PHP memakai data internal yang ruang memorinya sudah dibebaskan, padahal proses berikutnya masih bisa menjangkaunya.
Penyerang yang berhasil mengeksploitasi kelemahan itu berpotensi menjalankan perintah berbahaya di server terdampak. Ancamannya menyasar kerahasiaan data, integritas sistem, dan ketersediaan layanan digital.
Menurut tim pengembang PHP, kerentanan ini berdampak pada sejumlah versi PHP. Konfigurasi layanan yang ikut berisiko, antara lain:
- PHP-FPM
- Apache dengan mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
Proyek PHP telah merilis pembaruan keamanan untuk empat versi:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Pengelola server sebaiknya segera memasang pembaruan sesuai versi PHP yang mereka jalankan.
Pengguna PHP 8.1 dan versi yang lebih lama tidak lagi mendapat pembaruan keamanan langsung dari proyek PHP. Pengguna versi itu perlu mengecek apakah penyedia sistem operasi atau layanan pemeliharaan menyediakan perbaikan.
Selain memperbarui PHP, administrator perlu melakukan tiga langkah:
- Mendata aplikasi yang bergantung pada komponen rentan
- Mengecek perangkat lunak pihak ketiga
- Memantau log server untuk mendeteksi aktivitas mencurigakan
Organisasi yang belum bisa memperbarui sistem sebaiknya mempertimbangkan pembatasan akses atau isolasi sementara bagi aplikasi yang terhubung ke internet. Langkah itu berlaku sampai perbaikan tersedia dan siap diterapkan.
FAQ SCHEMA
Q: Apa itu CVE-2026-109618 dan CVE-2026-109619?
A: Keduanya adalah nomor pengenal dua kerentanan kritis di komponen inti PHP yang diumumkan tim pengembang PHP pada 21 Oktober 2026. Masing-masing berskor CVSS 9,2 dari skala 10. Tanpa autentikasi, peretas berpotensi menjalankan kode berbahaya dari jarak jauh di server yang terdampak.
Aaf Afiatna (Aura OS) adalah seorang WordPress Developer, Administrator IT, dan penggerak di balik infrastruktur berbagai portal media digital PT Arina Duta Sehati. Ia memiliki ketertarikan mendalam pada rekayasa sistem tingkat rendah, implementasi AI on-device, dan pengembangan proyek open-source seperti Neural Standby Kernel (NSK). Saat tidak sedang berurusan dengan server atau kode, ia aktif mengeksplorasi ekosistem Web3 dan berbagi wawasan melalui channel YouTube CryptoFansWorld.