Dua Celah Kritis PHP CVSS 9,2 Ancam Server, CloudLinux Rilis Patch
Dua kerentanan keamanan kritis ditemukan pada inti bahasa pemrograman PHP dan berpotensi memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619 tersebut memiliki tingkat keparahan CVSS v4.0 sebesar 9,2 dari 10.
PHP Security Team merilis pembaruan keamanan pada 21 Oktober 2026 untuk mengatasi kedua kerentanan tersebut. Temuan ini menjadi perhatian serius bagi penyedia layanan web hosting, administrator server, dan pengembang aplikasi karena PHP digunakan secara luas oleh berbagai platform, termasuk WordPress, WooCommerce, Joomla, Drupal, dan Magento.
CloudLinux turut merespons dengan menyediakan paket PHP yang telah diperbaiki serta memperbarui perlindungan Web Application Firewall (WAF) pada Imunify360 untuk membantu menghadang pola eksploitasi yang telah diketahui.
Dua Kerentanan PHP Memungkinkan Eksekusi Kode Jarak Jauh
Kedua kerentanan tersebut memengaruhi mekanisme internal PHP dalam menangani permintaan HTTP dan pengelolaan memori.
CVE-2026-109618 berkaitan dengan kerusakan memori ketika PHP kehabisan memori saat memproses permintaan yang dirancang secara khusus. Kondisi ini dapat menyebabkan proses pembersihan menggunakan data internal yang belum sepenuhnya diinisialisasi.
Sementara itu, CVE-2026-109619 terjadi ketika informasi internal dari permintaan sebelumnya tetap tersimpan setelah memori yang digunakan telah dibebaskan. Informasi tersebut kemudian berpotensi digunakan kembali oleh permintaan berikutnya sebelum proses inisialisasi selesai.
Kedua kondisi tersebut dapat dimanfaatkan untuk melakukan Remote Code Execution (RCE), yaitu menjalankan kode pada sistem yang menjadi target.
Yang membuat kerentanan ini berbahaya adalah kemungkinan eksploitasi tanpa memerlukan akun atau kredensial pengguna. Penyerang berpotensi memanfaatkan permintaan HTTP yang dibuat secara khusus untuk menyerang layanan PHP yang dapat diakses melalui internet.
Menurut pengumuman resmi PHP, seluruh instalasi PHP yang melayani permintaan web berpotensi terdampak, termasuk lingkungan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Risiko tertinggi ditemukan pada konfigurasi Apache yang menggunakan mod_php karena eksploitasi dapat dipicu sebelum kode aplikasi dijalankan.
Eksploitasi Publik Mulai Beredar
Situasi semakin mengkhawatirkan setelah kode eksploitasi untuk salah satu jalur serangan mulai beredar secara publik.
CloudLinux mengungkapkan bahwa eksploitasi tersebut menyalahgunakan mekanisme session upload progress, sebuah fitur PHP yang digunakan untuk memantau perkembangan unggahan berkas melalui sesi pengguna.
Fitur tersebut menjadi salah satu jalur yang dapat dimanfaatkan untuk mengeksploitasi CVE-2026-109619.
CloudLinux juga melaporkan bahwa alat eksploitasi publik telah digunakan untuk melakukan pemindaian massal terhadap server yang berpotensi rentan.
Meski demikian, keberadaan alat eksploitasi dan aktivitas pemindaian tidak secara otomatis membuktikan bahwa seluruh server yang terdeteksi telah berhasil disusupi.
Pengelola server tetap diminta segera melakukan pembaruan karena metode eksploitasi dapat berkembang dan tidak terbatas pada pola serangan yang telah dipublikasikan.
PHP Rilis Pembaruan Keamanan untuk Empat Versi
Sebagai respons terhadap kedua kerentanan, PHP Security Team merilis empat versi yang telah mendapatkan perbaikan pada 21 Oktober 2026.
Versi PHP yang telah diperbaiki meliputi:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Pengguna yang masih menjalankan versi sebelumnya pada masing-masing cabang disarankan segera memasang pembaruan.
Sementara itu, PHP 8.1 dan versi yang lebih lama tidak lagi mendapatkan pembaruan resmi dari proyek PHP karena telah melewati masa dukungan.
Namun, sejumlah vendor sistem operasi dan penyedia dukungan jangka panjang masih dapat menyediakan perbaikan melalui mekanisme backport, yaitu menerapkan patch keamanan pada paket PHP lama tanpa harus mengubah nomor versi utamanya.
PHP 8.2 sendiri dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026 sehingga pengguna versi tersebut juga perlu mempersiapkan migrasi ke cabang yang lebih baru.
CloudLinux Rilis Patch untuk alt-php dan ea-php
CloudLinux mengonfirmasi bahwa paket keamanan untuk lingkungan PHP yang dikelolanya telah mulai tersedia, termasuk paket yang digunakan pada server berbasis cPanel dan sistem operasi CloudLinux.
Berdasarkan pembaruan pada 22 Oktober 2026, paket ea-php untuk cPanel EasyApache 4, mulai dari ea-php52 hingga ea-php85, telah mendapatkan perbaikan.
Paket alt-php juga telah tersedia melalui repositori stabil untuk berbagai versi PHP pada CloudLinux 7, 8, 9, dan 10, serta sejumlah paket untuk CloudLinux berbasis Ubuntu 22.04.
Adapun pembaruan untuk paket PHP bawaan sistem operasi CloudLinux masih diluncurkan secara bertahap pada beberapa versi.
CloudLinux menegaskan bahwa paket PHP miliknya menggunakan metode backport sehingga nomor versi paket yang telah diperbaiki tidak selalu sama dengan versi terbaru yang diterbitkan proyek PHP.
Karena itu, administrator server disarankan memeriksa changelog paket untuk memastikan perbaikan CVE-2026-109618 dan CVE-2026-109619 telah terpasang.
Setelah pembaruan dilakukan, layanan terkait seperti Apache, PHP-FPM, atau LiteSpeed perlu dimulai ulang agar paket PHP yang telah diperbaiki benar-benar digunakan oleh proses server.
Imunify360 Tambahkan Perlindungan melalui WAF
Selain menyediakan patch PHP, CloudLinux juga memperbarui aturan keamanan Imunify360 untuk membantu memblokir pola eksploitasi yang telah diketahui.
Perlindungan tersebut diperkenalkan melalui beberapa pembaruan ruleset yang dirilis pada 21 Oktober 2026.
Ruleset 8.83 menambahkan pemblokiran terhadap pola permintaan eksploitasi publik pada ModSecurity dan Coraza.
Selanjutnya, ruleset 8.84 memperluas perlindungan terhadap alat eksploitasi yang beredar dan menambahkan aturan untuk LiteSpeed.
Ruleset 8.85 kemudian menghadirkan perlindungan tambahan terhadap sejumlah variasi eksploitasi serta meningkatkan pemantauan terhadap aktivitas unggahan yang mencurigakan.
Server yang menggunakan Imunify360 dengan fitur WAF aktif dapat menerima pembaruan aturan tersebut secara otomatis.
Namun, perlindungan WAF tidak menggantikan pembaruan PHP.
CloudLinux menjelaskan bahwa aturan yang tersedia terutama menargetkan jalur eksploitasi melalui mekanisme session upload progress yang berkaitan dengan CVE-2026-109619.
Sementara itu, jalur serangan yang memanfaatkan kondisi kehabisan memori pada CVE-2026-109618 belum sepenuhnya dapat diblokir menggunakan aturan tersebut.
Pengguna ImunifyAV maupun ImunifyAV+ juga tidak otomatis memperoleh perlindungan WAF yang sama karena kedua produk tersebut memiliki fungsi berbeda dari Imunify360.
Administrator Server Diminta Segera Melakukan Pembaruan
Untuk meminimalkan risiko, administrator server disarankan memeriksa seluruh instalasi PHP yang digunakan, termasuk apabila terdapat beberapa versi PHP yang berjalan secara bersamaan.
Pembaruan sebaiknya dilakukan melalui repositori resmi sistem operasi atau penyedia paket yang digunakan, baik CloudLinux, cPanel, maupun vendor lainnya.
Selain memperbarui PHP, administrator juga perlu memastikan WAF aktif, menggunakan ruleset terbaru, memantau aktivitas mencurigakan, dan memeriksa log server untuk menemukan kemungkinan percobaan eksploitasi.
Bagi lingkungan yang belum dapat segera diperbarui, PHP Security Team menyarankan sejumlah mitigasi sementara, termasuk menonaktifkan fitur session upload progress melalui konfigurasi PHP untuk mengurangi risiko pada jalur serangan tertentu.
Namun, langkah mitigasi tersebut tidak menjamin seluruh metode eksploitasi dapat dicegah.
Kerentanan ini menjadi pengingat bahwa keamanan situs web tidak hanya bergantung pada pembaruan aplikasi atau plugin. Komponen dasar seperti PHP juga memiliki peran penting dalam menjaga keamanan seluruh layanan yang berjalan di atasnya.
Dengan potensi eksekusi kode tanpa autentikasi dan tersedianya alat eksploitasi publik, pemasangan patch untuk CVE-2026-109618 dan CVE-2026-109619 perlu menjadi prioritas bagi pengelola infrastruktur web hosting dan aplikasi berbasis PHP.
Sumber: CloudLinux, PHP Security Team, cPanel
