Celah PHP Terbaru 2026: CVE-2026-109618 & 109619
Celah PHP Terbaru 2026 adalah dua kerentanan kritis bernama CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan penyerang menjalankan kode komputer tanpa login, dengan rating Critical CVSS v4.0 9.2. PHP merilis patch darurat pada 21 Oktober 2026, dan peneliti keamanan sudah mengamati eksploitasi di internet sejak hari yang sama. Jika runtime website Anda masih di bawah 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, perbarui sekarang.
Angka CVSS 10.0 yang beredar sejak 20 Oktober adalah keliru. PHP Foundation mengonfirmasi skor resminya 9.2. Video proof of concept dari satu tim peneliti terbit tanpa sengaja dan langsung beredar bersama hoaks itu, sehingga PHP memajukan jadwal rilis.
Apa itu Celah PHP Terbaru 2026?
Peneliti menjuluki celah ini PHP2Shell. Wiz Research menemukannya dengan bantuan model AI pada Agustus 2026 dan membuktikan eksekusi kode tanpa login pada WordPress, Drupal, dan Joomla. Tim yang sama menegaskan CMS bukan akar masalahnya; kerentanan ada di mesin PHP. OpenAI dan Calif secara independen menemukan akar masalah yang sama, lalu PHP mengumumkan rilis keamanan darurat pada 21 Oktober 2026 pukul 14.00 UTC.
AI mempercepat bagian yang paling lama: menemukan dan mengembangkan exploit pada kode yang sudah ada lebih dari satu dekade. Sebelum ada AI, pekerjaan seperti itu butuh tim khusus berbulan-bulan.
watchTowr mencatat eksploitasi in the wild sejak 21 Oktober melalui jaringan honeypot global mereka. Cloudflare mengamati traffic serangan ke pelanggannya, dengan penyerang yang memutasi payload untuk lolos dari filter. Per 22 Oktober 2026, CISA belum memasukkan CVE ini ke katalog KEV.
Dua celah kritis yang perlu Anda pahami
CVE-2026-109618 memicu kekacauan memori saat PHP kehabisan memori atau out of memory. PHP keluar dari eksekusi dengan longjmp tanpa membersihkan data yang setengah jadi, lalu proses shutdown request membaca data rusak itu sebagai data valid. Hasilnya bisa berupa crash atau eksekusi kode.
CVE-2026-109619 memakai jalur berbeda. Sebagian state global PHP menunjuk ke memori milik request sebelumnya. Request berikutnya pada worker yang sama membaca state basi itu sebelum inisialisasi ulang, dan penyerang menyetel layout memori untuk mengubahnya menjadi eksekusi kode. Fitur session upload progress aktif secara default, jadi aplikasi tidak perlu memanggil session_start() untuk membuka jalur ini.
mod_php paling berisiko karena PHP tetap menjalankan shutdown request walau startup gagal. Serangan pada konfigurasi ini bisa berhasil sebelum PHP menjalankan baris kode aplikasi Anda sama sekali. PHP-FPM, php-cgi, FrankenPHP, dan LiteSpeed juga terdampak dengan tingkat paparan yang berbeda per konfigurasi.
Fastly menambahkan nuansa yang jarang media lain bahas. Proof of concept yang beredar butuh pengetahuan soal binary PHP dan layout alamat memori server untuk menghasilkan RCE pada x86 64. Banyak deployment mungkin lolos dari RCE langsung, tetapi asumsikan aman adalah langkah keliru. Untuk PHP 32 bit, anggap server sudah terkompromi.
Siapa saja yang terdampak Celah PHP Terbaru 2026?
Rentang Celah PHP Terbaru 2026 lebar, dari PHP 5.4 sampai 8.5.11. Wiz menyebut angka 70 persen situs web global memakai PHP berdasarkan data W3Techs, meski dampak efektifnya bergantung konfigurasi dan upaya penyerang. WordPress, Drupal, Joomla, Laravel, dan Magento ikut kena karena berjalan di atas PHP. Memperbarui plugin CMS tidak menambal celah di runtime ini.
Daftar versi aman untuk update sekarang
Advisory resmi PHP merilis empat versi aman sekaligus pada 21 Oktober 2026:
| Cabang PHP | Versi terdampak | Versi aman |
|---|---|---|
| PHP 8.5 | 8.5.0 s.d. 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.0 s.d. 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.0 s.d. 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.0 s.d. 8.2.34 | 8.2.35 |
| PHP 8.1 dan lebih lama | Terdampak | Backport vendor, lihat catatan di bawah |
PHP 8.2 mencapai akhir masa dukung pada 31 Desember 2026, jadi patch ini salah satu rilis keamanan terakhirnya. PHP 8.1 dan lebih lama tidak lagi menerima update dari proyek PHP. Beberapa distro dan vendor LTS menyediakan backport sendiri, dan PHP 7.4, 8.0, serta 8.1 mendapat minimal source backport di php-src untuk integrasi vendor. Di bawah 7.4, tidak ada patch upstream.
Cara cek dan update PHP untuk Celah PHP Terbaru 2026
Perintah php -v di terminal bisa menunjukkan versi yang berbeda dari versi yang benar-benar melayani request web. Cek versi runtime melalui panel hosting, konfigurasi PHP-FPM, atau konfigurasi web server Anda. Jangan mempublikasikan phpinfo() ke internet.
Untuk VPS atau server sendiri, perbarui paket PHP ke versi aman, lalu restart Apache, PHP-FPM, atau LiteSpeed agar binary baru termuat. Untuk container, rebuild image dengan base PHP yang sudah patch dan redeploy. Memperbarui lingkungan lokal saja tidak cukup. Di server dengan EasyApache, perbarui paket ea-php lalu restart layanan web.
Shared hosting punya jebakan tersendiri. Paket cPanel dan CloudLinux sering membawa fix sebagai backport, sehingga nomor versi tetap rendah meski sudah aman. Verifikasi lewat changelog paket dengan mencari CVE-2026-109618 atau CVE-2026-109619, bukan dengan membandingkan angka versi ke upstream. Distro seperti Ubuntu juga sudah merilis paket aman dengan nomor versi yang tetap rendah. Tanyakan langsung ke provider hosting Anda status patch-nya.
WAF dan CDN sudah cukup?
Tidak. WAF saja belum bisa menutup Celah PHP Terbaru 2026. Cloudflare, AWS, Google Cloud, Fastly, dan Vercel sudah menambahkan proteksi WAF sebelum pengungkapan publik, tetapi semuanya menegaskan proteksi itu lapisan tambahan. Cloudflare menyuruh pelanggannya tetap melakukan patch. Imunify360 dari CloudLinux mencatat belum ada rule yang memblokir jalur OOM pada CVE-2026-109618, dan rule mereka baru menutup jalur session upload progress pada CVE-2026-109619.
Jika Anda belum bisa segera update, PHP menyediakan mitigasi konfigurasi sementara. Contohnya menonaktifkan session.upload_progress lalu me-restart semua worker, membatasi post_max_size secara konservatif, dan mengatur memory_limit di level administratif. Mitigasi ini hanya menutup jalur tertentu dan tidak membuat instalasi aman. Fungsinya membeli waktu sampai patch terpasang.
Tanda serangan Celah PHP Terbaru 2026 di log server
Fastly membagikan beberapa pola yang perlu Anda selidiki. Pesan allowed memory size exhausted dengan lokasi Unknown on line 0 menandakan kegagalan memori terjadi saat PHP memproses request, sebelum skrip berjalan. Ledakan pesan segfault pada log Apache dalam waktu singkat juga mencurigakan.
Worker mod_php yang tiba-tiba menjalankan proses shell adalah sinyal kuat, karena worker normal tidak menjalankan proses anak. Anda perlu mengawasi trafik dengan POST urlencoded berukuran lebih dari satu megabita dan field PHP_SESSION_UPLOAD_PROGRESS pada endpoint yang tidak memakai fitur itu. Ketiga gejala itu petunjuk untuk menyelidiki, bukan vonnis pasti bahwa server sudah jebol. Industri yang paling sering jadi sasaran menurut Fastly adalah e-commerce, media, edukasi, hospitality, dan layanan keuangan.
Untuk Celah PHP Terbaru 2026, langkahnya sederhana. Buka panel hosting atau terminal, cek versi PHP yang melayani website Anda, dan bandingkan dengan tabel versi aman di atas. Jika Anda berencana membangun atau memigrasikan website baru, lihat layanan jasa pembuatan website dan aplikasi dari Harkovnet. Untuk konsultasi langsung soal keamanan atau pengembangan website, hubungi kami lewat WhatsApp Harkovnet.
