Tim Pengembang PHP Rilis Peringatan Dini untuk Dua Celah Keamanan Kritis dan Siapkan Patch Darurat
Tim keamanan PHP mengeluarkan peringatan mendesak bagi para administrator sistem untuk bersiap memasang pembaruan keamanan darurat guna mengatasi dua kerentanan kritis. Langkah pencegahan ini diambil setelah rincian mengenai celah keamanan tersebut telanjur bocor ke publik sebelum jadwal pengungkapan resminya.
Sebagai bahasa pemrograman yang menjadi fondasi bagi jutaan situs web dan aplikasi web di seluruh dunia—termasuk berbagai sistem manajemen konten (CMS), platform e-commerce, hingga layanan web kustom—keamanan PHP memegang peranan yang sangat vital bagi infrastruktur internet.
Dalam buletin peringatan yang dipublikasikan pada hari Selasa, tim pengembang PHP mengumumkan rencana perilisan pembaruan keamanan yang dijadwalkan meluncur pada Rabu, 21 Oktober 2026, pukul 14:00 UTC (atau pukul 21:00 WIB). Pembaruan darurat ini ditujukan untuk menutup dua kerentanan yang masing-masing mengantongi skor tingkat keparahan 9.2 berdasarkan standar CVSS v4.0.
Melalui pesan yang dikirimkan ke daftar mailing list ANNOUNCE, tim keamanan PHP mendesak para administrator untuk bersiap menerapkan patch segera setelah tersedia. “Kami berhak merilis lebih awal jika detail dari salah satu kerentanan tersebut telanjur dipublikasikan ke publik, atau jika ditemukan bukti eksploitasi aktif di alam liar (in the wild),” tegas tim keamanan PHP.
Hingga berita ini diturunkan, pengembang belum membeberkan rincian teknis mendalam mengenai kerentanan tersebut, termasuk versi PHP mana saja yang terdampak, bagaimana cara eksploitasinya, maupun daftar rilis yang akan memuat perbaikan.
Kebocoran Informasi dan Temuan Peneliti Keamanan
Meskipun pengumuman resmi belum merinci versi yang rentan, firma riset keamanan siber watchTowr melaporkan kepada BleepingComputer bahwa kerentanan tersebut masing-masing dilacak dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya merupakan celah Remote Code Execution (RCE) yang diyakini berdampak luas pada PHP versi 5, 6, 7, dan 8.
“Dalam satu jam terakhir, dua kerentanan eksekusi kode jarak jauh di PHP telah bocor. Kerentanan ini sebelumnya dijadwalkan berada dalam masa embargo dan baru akan dirilis pada hari Kamis pukul 11 pagi ET,” ujar CEO watchTowr, Benjamin Harris.
Meskipun pihak watchTowr mengonfirmasi bahwa mereka telah berhasil mereplikasi celah CVE-2026-109618, mereka memilih untuk menahan rincian teknis hingga patch resmi dirilis ke publik. Para peneliti juga memastikan bahwa hingga saat ini belum ada indikasi eksploitasi aktif yang terpantau di lapangan, meskipun informasi kerentanan telah bocor lebih awal.
Kebocoran ini bermula dari sebuah unggahan (yang kini telah dihapus) di forum Hacker News milik Y Combinator oleh pengguna bernama “petecooper”, yang mengeklaim bahwa dua kerentanan RCE kritis di PHP akan diungkap pada 22 Oktober dengan skor CVSS 10.0, mencocokkan identifikasi CVE yang kemudian diverifikasi oleh watchTowr. Terdapat sedikit perbedaan antara klaim forum dan pernyataan resmi PHP, di mana PHP menetapkan skor CVSS v4.0 sebesar 9.2, serta memajukan jadwal rilis patch menjadi Rabu pagi.
Tim keamanan PHP berjanji akan menerbitkan rincian teknis lengkap, daftar versi yang terdampak, serta rilis perbaikan yang dapat diunduh secara resmi begitu pembaruan tersebut diluncurkan.
Sumber: PHP Security Advisory
