Kami ingin menginformasikan adanya dua kerentanan keamanan kritikal pada PHP yang dipublikasikan dengan identitas CVE-2026-109618 (RCE via OOM corruption) dan CVE-2026-109619 (RCE via stale global state).

Berdasarkan rilis informasi pihak pengembang PHP, kedua kerentanan tersebut dapat memungkinkan pihak yang tidak berwenang menjalankan kode secara remote (Remote Code Execution) tanpa autentikasi. Risiko mencakup seluruh instalasi PHP yang berkaitan dengan request website, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php, karena serangan dapat dipicu sebelum kode aplikasi dijalankan.

Versi PHP yang terdampak:

 PHP 8.2.x sebelum 8.2.35

 PHP 8.3.x sebelum 8.3.36

 PHP 8.4.x sebelum 8.4.27

 PHP 8.5.x sebelum 8.5.12

 PHP 8.1 dan yang lebih lama (sudah tidak menerima pembaruan resmi)

Versi yang telah memperoleh perbaikan keamanan:

 PHP 8.2.x → 8.2.35 atau lebih baru

 PHP 8.3.x → 8.3.36 atau lebih baru

 PHP 8.4.x → 8.4.27 atau lebih baru

 PHP 8.5.x → 8.5.12 atau lebih baru 

Langkah yang direkomendasikan:

Kami sangat menyarankan agar segera memperbarui PHP ke versi yang telah diperbaiki. 

Bagi pengguna PHP 8.1 atau yang lebih lama, kami menyarankan untuk melakukan upgrade ke versi PHP yang masih didukung. Sebelum melakukan update PHP, kami juga menyarankan beberapa langkah dibawah ini.

• - Melakukan backup website secara menyeluruh, termasuk file website dan database

• - Memastikan aplikasi, CMS, plugin, dan tema yang digunakan kompatibel dengan versi PHP yang akan digunakan.

• - Apabila memungkinkan, melakukan pengujian terlebih dahulu pada environment staging atau development sebelum melakukan update pada website production. 

Apabila update tidak dapat langsung dilakukan, terdapat beberapa langkah mitigasi yang kami sarankan, diantaranya adalah sebagai berikut.

• - Langkah berikut hanya mengurangi sebagian serangan dan tidak menggantikan update PHP. Update tetap merupakan satu-satunya solusi yang paling tepat.

• - Menonaktifkan fitur session upload progress dengan men-set session.upload_progress.enabled=0 pada konfigurasi PHP (php.ini atau konfigurasi pool), lalu me-restart service PHP.

• - Untuk PHP 8.5, men-set fatal_error_backtraces=0 lalu me-restart service PHP. 

• - Membatasi ukuran request, sebagai contoh konfigurasi post_max_size = 8M untuk aplikasi yang tidak memerlukan upload file, atau post_max_size = 32M jika upload file diperlukan, serta memastikan upload_max_filesize tetap di bawah post_max_size. 

• - Memperbaiki error fatal, warning, dan deprecation yang muncul pada aplikasi, serta menghapus konfigurasi PHP yang sudah usang.

Setelah proses update selesai:

Diharapkan untuk:

• - Memastikan seluruh aplikasi, plugin, dan tema berjalan normal dengan versi PHP yang baru. 

• - Melakukan pengujian terhadap fungsi utama website. 

• - Memeriksa akun administrator yang tidak dikenal, file yang mencurigakan, serta aktivitas yang tidak biasa pada website dan log server.

Sebagai referensi, informasi lebih lanjut mengenai kerentanan ini dapat dilihat pada tautan berikut: 

https://www.php.net/archive/2026.php#2026-10-21-5

https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Salam,

CSIRT Kota Bandar Lampung