Telkom CSIRT Keluarkan Peringatan PHP Vulnerability Kritis, Ini Risikonya

PHP vulnerability menjadi perhatian tim keamanan siber setelah ditemukan dua celah kritis pada inti PHP, yaitu CVE-2026-109618 dan CVE-2026-109619. Kedua kerentanan ini berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh atau remote code execution (RCE) pada server yang rentan, bahkan tanpa autentikasi.

Telkom CSIRT, tim keamanan siber di lingkungan Telkom menerbitkan advisory mengenai ancaman tersebut pada 21 Oktober 2026. Pada tanggal yang sama, tim pengembang PHP merilis pembaruan keamanan untuk mengatasi kedua kerentanan tersebut. PHP juga mengonfirmasi bahwa seluruh instalasi PHP yang melayani permintaan web perlu diperiksa, termasuk lingkungan PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed.

Bagi administrator server, pengelola website, dan tim keamanan teknologi informasi (TI), langkah penting yang perlu dilakukan adalah mengidentifikasi instalasi PHP, menerapkan pembaruan yang sesuai, dan memeriksa kemungkinan kompromi pada sistem yang belum diperbarui.

Baca Juga: Post-Quantum Cryptography: Persiapan Menghadapi Ancaman Komputer Kuantum

Apa Itu PHP Vulnerability?

PHP vulnerability adalah kelemahan keamanan pada PHP yang dapat dimanfaatkan penyerang untuk mengganggu sistem atau menjalankan tindakan yang tidak semestinya. Dampaknya bergantung pada jenis kerentanan, versi PHP, konfigurasi server, dan kondisi sistem yang terdampak.

PHP merupakan bahasa pemrograman server-side yang banyak digunakan untuk membangun website dan aplikasi web dinamis. Karena PHP memproses permintaan yang diterima server, kerentanan pada inti PHP dapat memengaruhi keamanan aplikasi yang menggunakan runtime tersebut.

Dalam kasus yang diumumkan pada Oktober 2026, dua kerentanan kritis ditemukan pada mekanisme internal PHP. Kedua celah tersebut dikenal dengan identitas CVE-2026-109618 dan CVE-2026-109619, serta dikaitkan dengan isu keamanan yang disebut php2shell.

Menurut advisory resmi PHP, kedua kerentanan memiliki skor CVSS v4.0 sebesar 9,2. Skor tersebut menunjukkan tingkat keparahan kritis dan memperkuat urgensi pembaruan keamanan.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Kedua PHP vulnerability tersebut sama-sama berpotensi memicu remote code execution, tetapi berasal dari kelemahan teknis yang berbeda. Memahami perbedaannya membantu tim TI mengetahui mengapa pembaruan pada runtime PHP menjadi prioritas.

CVE-2026-109618: Kerentanan Out-of-Memory

CVE-2026-109618 berkaitan dengan penanganan kondisi out-of-memory (OOM), yaitu situasi ketika PHP mengalami kegagalan alokasi memori.

Dalam kondisi tertentu, proses penanganan kesalahan dapat membuat data internal permintaan belum terinisialisasi secara sempurna. Ketika PHP melakukan pembersihan permintaan, data tersebut berpotensi diperlakukan sebagai data yang valid sehingga menyebabkan korupsi memori.

Penyerang dapat memanfaatkan kondisi ini melalui permintaan yang dirancang khusus. Menurut tim PHP, eksploitasi pada lingkungan tertentu, termasuk Apache dengan mod_php, dapat memungkinkan eksekusi kode tanpa autentikasi dan sebelum kode aplikasi dijalankan.

CVE-2026-109619: Kerentanan Stale Global State

CVE-2026-109619 berkaitan dengan kelemahan use-after-free, yaitu ketika program masih menggunakan memori yang sebelumnya telah dilepaskan.

Pada kerentanan ini, sebagian status internal PHP dapat tetap merujuk pada memori milik permintaan sebelumnya. Jika worker memproses permintaan berikutnya sebelum status tersebut diinisialisasi ulang dengan benar, kondisi itu berpotensi menyebabkan perilaku yang tidak semestinya, termasuk eksekusi kode jarak jauh.

Kedua kerentanan tersebut berada pada inti PHP, bukan sekadar pada framework atau kode aplikasi tertentu. Karena itu, memperbarui framework saja tidak cukup untuk menutup celah keamanan pada runtime PHP.

Dampak PHP Vulnerability bagi Server

Dampak PHP vulnerability bergantung pada konfigurasi dan lingkungan server. Namun, karena kedua celah ini berpotensi memungkinkan remote code execution, organisasi perlu memprioritaskan pemeriksaan terhadap sistem yang dapat diakses dari internet.

Remote Code Execution Tanpa Autentikasi

Remote code execution memungkinkan penyerang menjalankan kode pada sistem yang rentan dari jarak jauh. Dalam kasus ini, penyerang berpotensi mengeksploitasi server tanpa harus memiliki akun atau melakukan autentikasi terlebih dahulu.

Jika eksploitasi berhasil, kode yang dijalankan dapat memiliki hak akses sesuai dengan akun proses PHP atau web server. Hal ini dapat membuka peluang untuk mengganggu layanan, mengubah file, atau mengakses sumber daya yang dapat dijangkau oleh proses tersebut.

Risiko Kebocoran Data dan Gangguan Layanan

Server yang berhasil disusupi berpotensi mengalami gangguan operasional, perubahan data, atau akses tidak sah terhadap informasi yang tersedia di lingkungan server. Dampak aktual bergantung pada hak akses proses, segmentasi jaringan, dan pengamanan tambahan yang diterapkan organisasi.

Bagi perusahaan yang mengoperasikan website, aplikasi pelanggan, atau layanan digital, insiden keamanan juga dapat menimbulkan biaya pemulihan dan mengganggu ketersediaan layanan.

Website dan Aplikasi Berbasis PHP Berpotensi Terdampak

Tim PHP menyatakan bahwa seluruh instalasi PHP yang melayani permintaan web perlu diperiksa. Lingkungan yang disebutkan mencakup PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed.

Website yang menggunakan CMS atau framework berbasis PHP juga perlu diperiksa apabila berjalan di atas runtime yang terdampak. Namun, bukan berarti setiap website berbasis WordPress, Drupal, Joomla, atau framework PHP lainnya otomatis telah disusupi. Risiko perlu dinilai berdasarkan versi PHP, konfigurasi, dan kondisi masing-masing sistem.

Selain server yang dikelola langsung, organisasi juga perlu memeriksa perangkat lunak pihak ketiga, container image, atau produk vendor yang menyertakan komponen PHP di dalamnya.

Baca Juga: Apa Itu Cyber Security Telkom? Sistem Keamanan Digital Terintegrasi

Versi PHP yang Terdampak dan Versi Perbaikannya

Tim pengembang PHP telah merilis pembaruan keamanan untuk mengatasi CVE-2026-109618 dan CVE-2026-109619. Organisasi perlu menyesuaikan pembaruan dengan versi PHP yang digunakan serta memastikan penyedia sistem operasi atau hosting telah menyediakan paket perbaikan yang sesuai.

Untuk mengatasi kedua kerentanan tersebut, pengguna PHP 8.5 perlu memperbarui ke versi 8.5.12, pengguna PHP 8.4 ke versi 8.4.27, pengguna PHP 8.3 ke versi 8.3.36, dan pengguna PHP 8.2 ke versi 8.2.35.

Versi PHP sebelum rilis perbaikan pada masing-masing cabang tersebut perlu diperiksa dan diperbarui. Sementara itu, PHP 8.1 dan versi yang lebih lama tidak lagi menerima pembaruan rutin dari proyek PHP utama. Meski demikian, sebagian distribusi Linux dan penyedia dukungan jangka panjang mungkin menyediakan backport atau penerapan perbaikan keamanan ke paket versi lama.

Karena mekanisme pembaruan dapat berbeda, organisasi sebaiknya merujuk pada advisory keamanan resmi PHP serta informasi dari vendor sistem operasi atau penyedia hosting yang digunakan.

Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Organisasi yang masih menggunakan versi tersebut sebaiknya mulai merencanakan migrasi ke versi PHP yang masih mendapatkan dukungan keamanan.

Cara Mengatasi PHP Vulnerability

Langkah utama untuk mengatasi CVE-2026-109618 dan CVE-2026-109619 adalah memperbarui runtime PHP ke versi yang telah diperbaiki. Tim PHP menegaskan bahwa mitigasi sementara hanya dapat mengurangi paparan terhadap jalur serangan tertentu dan tidak menggantikan pembaruan keamanan.

1. Inventarisasi Seluruh Instalasi PHP

Identifikasi seluruh server, website, aplikasi, container, dan perangkat lunak pihak ketiga yang menggunakan PHP. Jangan hanya memeriksa server utama, tetapi sertakan lingkungan pengujian, aplikasi internal, serta produk vendor yang mungkin menyertakan runtime PHP.

Inventarisasi membantu organisasi menentukan sistem mana yang terdampak dan memprioritaskan perbaikan berdasarkan paparan internet serta tingkat risiko.

2. Perbarui PHP ke Versi yang Telah Diperbaiki

Segera perbarui PHP ke versi perbaikan yang sesuai dengan cabang yang digunakan, yaitu 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Jika menggunakan paket dari distribusi Linux, layanan hosting, atau vendor lain, ikuti instruksi pembaruan resmi dari penyedia tersebut.

Setelah pembaruan, mulai ulang proses PHP atau layanan terkait sesuai prosedur operasional. Langkah ini penting agar proses yang berjalan benar-benar memuat versi yang telah diperbaiki. Verifikasi kembali versi dan status layanan setelah pembaruan.

3. Isolasi Sistem yang Belum Dapat Diperbarui

Jika pembaruan belum dapat diterapkan, lakukan penilaian risiko dan pertimbangkan untuk mengisolasi aplikasi yang terpapar internet dari jaringan publik sampai perbaikan tersedia.

Pembatasan akses, aturan firewall, atau Web Application Firewall (WAF) dapat menjadi lapisan perlindungan tambahan. Namun, konfigurasi tersebut tidak boleh dianggap sebagai pengganti patch keamanan karena tidak menjamin seluruh jalur eksploitasi tertutup.

4. Terapkan Mitigasi Sementara Berdasarkan Advisory Resmi

Tim PHP menyediakan sejumlah pengaturan sementara untuk mengurangi paparan terhadap jalur eksploitasi tertentu. Contohnya mencakup pengaturan session.upload_progress.enabled=0 pada konfigurasi yang berlaku sebelum pemrosesan permintaan, serta penyesuaian batas ukuran permintaan sesuai kebutuhan aplikasi.

Pada kondisi tertentu, tim PHP juga merekomendasikan pengaturan memory_limit=-1 secara administratif untuk mengurangi paparan terhadap jalur eksploitasi CVE-2026-109618. Namun, pengaturan ini menghilangkan batas memori PHP dan dapat meningkatkan risiko gangguan ketersediaan layanan. Karena itu, penerapannya harus dilakukan oleh administrator yang memahami konsekuensinya, dengan pengamanan sumber daya pada tingkat container atau sistem operasi.

Untuk PHP 8.5, pengaturan fatal_error_backtraces=0 juga disebut sebagai mitigasi bagi jalur tertentu pada CVE-2026-109619. Setiap mitigasi tersebut memiliki cakupan terbatas dan harus diterapkan sesuai petunjuk resmi PHP. Tidak satu pun menjadikan instalasi sepenuhnya aman tanpa pembaruan.

5. Periksa Log dan Indikasi Kompromi

Tinjau log web server, PHP, aplikasi, autentikasi, dan endpoint untuk mencari aktivitas yang tidak biasa. Perhatikan proses baru yang tidak dikenal, perubahan file mencurigakan, akun yang tidak sah, atau koneksi keluar yang tidak sesuai dengan aktivitas normal server.

Jika ditemukan indikasi kompromi, lakukan investigasi dan penanganan insiden sebelum menyatakan sistem aman. Pembaruan PHP menutup kerentanan yang diketahui, tetapi tidak otomatis menghapus malware atau perubahan berbahaya yang mungkin telah dilakukan sebelumnya.

6. Koordinasikan Pembaruan dengan Penyedia Hosting dan Vendor

Apabila website dikelola oleh penyedia hosting atau tim infrastruktur eksternal, mintalah konfirmasi mengenai versi PHP yang digunakan dan status penerapan patch. Lakukan hal serupa untuk perangkat lunak pihak ketiga yang menyertakan runtime PHP.

Koordinasi ini membantu memastikan tidak ada komponen yang terlewat, khususnya pada lingkungan dengan banyak aplikasi atau server yang dikelola oleh beberapa pihak.

PHP vulnerability CVE-2026-109618 dan CVE-2026-109619 merupakan dua kerentanan kritis pada inti PHP yang berpotensi memungkinkan remote code execution tanpa autentikasi. Dengan skor CVSS v4.0 sebesar 9,2, keduanya perlu menjadi prioritas bagi administrator server, pengelola website, dan tim keamanan TI.

Pembaruan keamanan telah tersedia untuk PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Organisasi perlu menginventarisasi seluruh instalasi PHP, menerapkan pembaruan yang sesuai, mengisolasi sistem yang belum dapat diperbaiki, serta memeriksa kemungkinan kompromi.

Baca Juga: Keunggulan Cyber Security Telkom bagi Bisnis