> ## Content Index
> Fetch the complete content index at: https://bullquill.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# PHP Siapkan Patch Darurat untuk Dua Celah Kritis: Ini Langkahnya
- URL: https://bullquill.com/id/php-emergency-security-patches-what-to-do-id/
- Published: 2026-10-21T06:37:33.000Z
- Updated: 2026-10-21T12:44:27.000Z
- Description: Tim keamanan PHP mengumumkan lebih awal rilis mendesak untuk memperbaiki dua kerentanan berskor 9.2 pada CVSS v4.0. Berikut hal yang sudah dikonfirmasi resmi, yang belum terverifikasi, dan cara pengelola server bersiap.
- Author: Rowan Ashby
- Tags: Tech, Trending, #lang-id, #tr-php-emergency-security-patches-what-to-do

## Poin penting

- Tim keamanan PHP menjadwalkan rilis keamanan di luar siklus reguler pada Rabu, 21 Oktober 2026 pukul 14.00 UTC untuk memperbaiki dua kerentanan, masing-masing berskor 9.2 (Kritis) pada skala CVSS v4.0.
- PHP menyatakan dapat merilis perbaikan lebih awal bila detail teknis terungkap ke publik atau ada bukti eksploitasi aktif. Versi yang terdampak dan versi perbaikannya baru akan disebutkan saat rilis diterbitkan.
- CERT-EU mengidentifikasi celah tersebut sebagai CVE-2026-109618 dan CVE-2026-109619 dan menyatakan keduanya dapat berujung pada eksekusi kode jarak jauh. Belum ada detail teknis yang diungkap secara resmi.
- Para peneliti mengaitkan setidaknya satu celah dengan fitur `session.upload_progress` di PHP, yang aktif secara bawaan. PHP belum mengonfirmasi hal ini, dan menonaktifkan pengaturan tersebut adalah langkah darurat tidak resmi yang mungkin tidak menutup kedua celah.
- Saat ini hanya PHP 8.2, 8.3, 8.4, dan 8.5 yang menerima perbaikan keamanan. Server yang memakai cabang lebih lama tidak diperkirakan mendapat tambalan resmi.

## Apa yang diumumkan proyek PHP

Pada Selasa, 20 Oktober 2026 pukul 19.33 UTC, manajer rilis PHP Jakub Zelenka mengirim pemberitahuan ke milis resmi proyek, php.announce, berjudul "Upcoming Critical PHP Security Release". Pemberitahuan itu menyebut rilis tersebut akan menangani "dua kerentanan kritis (keduanya berskor CVSS v4.0 9.2, Kritis)" dan menetapkan waktu rilis pukul 14.00 UTC pada Rabu, 21 Oktober 2026.

Pengumuman itu singkat. Isinya tidak menyebut cabang yang terdampak, komponen yang rentan, maupun cara mengatasinya sementara. Pengguna diminta bersiap sejak sekarang agar dapat memperbarui begitu rilis tersedia, dan tim menyatakan berhak menerbitkannya lebih cepat bila detailnya makin bocor atau bila penyerang mulai mengeksploitasi celah tersebut. Pemberitahuan awal yang sama juga dimuat di halaman depan php.net, yang menyatakan versi terdampak dan versi perbaikan akan dicantumkan bersama rilis.

Mengumumkan rilis keamanan lebih awal tidak lazim bagi PHP. Pembaruan keamanan regulernya biasanya terbit dengan sedikit publikasi sebelumnya. Pembaruan terakhir terbit pada 24 September 2026 sebagai PHP 8.5.11, 8.4.26, 8.3.35, dan 8.2.34\. Pemberitahuan terpisah dengan jam yang sudah ditetapkan menunjukkan bahwa para pengelola PHP mengharapkan respons yang cepat dan luas dari pengelola server.

## Mengapa peringatan datang lebih awal

Menurut kronologi yang dipublikasikan perusahaan keamanan Sansec dan Huntress, sebuah unggahan di forum Hacker News sekitar pukul 15.20 UTC pada 20 Oktober menggambarkan dua pengungkapan kerentanan eksekusi kode jarak jauh PHP yang akan datang. Unggahan itu kemudian dihapus, tetapi tangkapan layarnya sudah beredar. Huntress dan Sansec sama-sama melaporkan bahwa perusahaan keamanan watchTowr mengonfirmasi celah tersebut nyata, dan Huntress menyebut watchTowr berhasil mereproduksi salah satunya, CVE-2026-109618\. Sansec melaporkan bahwa tanggal yang dijadwalkan sehari lebih awal daripada rencana semula.

Layanan keamanan siber Uni Eropa untuk lembaga-lembaganya, CERT-EU, menerbitkan Security Advisory 2026-018 untuk kedua CVE tersebut. CERT-EU menyatakan keduanya "dapat berujung pada eksekusi kode jarak jauh" dan bahwa skornya mengindikasikan kemungkinan eksploitasi tanpa autentikasi. CERT-EU menambahkan bahwa belum ada detail teknis yang dipublikasikan.

## Versi dan fitur yang mungkin terdampak

Inilah pertanyaan terbesar yang belum terjawab, dan jawaban resminya baru akan datang bersama rilis. Yang disampaikan berbagai sumber sejauh ini:

- **PHP (resmi):** versi terdampak dan versi perbaikan akan dipublikasikan bersama rilis.
- **CERT-EU:** dengan mengutip sumber lain, menyatakan celah ini dapat memengaruhi semua versi PHP sejak PHP 5.
- **Sansec:** menyebut tangkapan layar yang bocor dari alat eksploitasi bernama "PHP2Shell" mengklaim dapat bekerja pada semua rilis sejak PHP 5.4.0\. Klaim itu berasal dari banner alat itu sendiri dan belum diverifikasi secara independen.
- **Huntress:** menyebut laporan mengarah ke PHP 5 hingga 8, tetapi akar masalahnya belum dipublikasikan. Huntress memperkirakan perbaikan hanya akan tersedia untuk cabang PHP 8 yang masih didukung.

Mengenai komponen spesifiknya, situs berita keamanan Jepang Lilting menghimpun analisis para peneliti yang mengaitkan setidaknya satu celah dengan penangan `session.upload_progress`, yang digambarkan sebagai heap use-after-free. Ini adalah jenis bug kerusakan memori ketika sebuah program tetap memakai memori setelah melepaskannya. Seorang peneliti independen menempatkan bug itu di fungsi `php_session_rfc1867_callback` dan menyebut celah kedua berada di tempat lain, yaitu di pengurai permintaan multipart. GMO Flatt Security, yang juga dikutip Lilting, mengingatkan bahwa analisisnya sendiri mungkin mengandung ketidakakuratan. Tidak satu pun atribusi ini telah dikonfirmasi oleh proyek PHP atau CERT-EU, sehingga pembaca sebaiknya menganggapnya sementara.

Fitur session upload progress memungkinkan PHP mencatat seberapa banyak bagian unggahan berkas yang sudah diterima, sehingga halaman web dapat menampilkan bilah kemajuan. Menurut manual PHP, `session.upload_progress.enabled` bernilai bawaan "1" (aktif) dan dapat diubah per direktori (`INI_PERDIR`). Artinya, pengaturan itu tidak dapat dimatikan dari dalam aplikasi dengan `ini_set()`.

## Angka-angka: cabang PHP dan tingkat keterpaparan

| Butir                                                               | Nilai                                | Sumber                     |
| ------------------------------------------------------------------- | ------------------------------------ | -------------------------- |
| Tingkat keparahan tiap celah                                        | CVSS v4.0 9.2 (Kritis)               | PHP php.announce #509      |
| Jadwal rilis                                                        | 21 Okt 2026, 14.00 UTC               | PHP php.announce #509      |
| PHP 8.5 (terbaru 8.5.11)                                            | Dukungan keamanan hingga 31 Des 2029 | php.net supported versions |
| PHP 8.4 (terbaru 8.4.26)                                            | Dukungan keamanan hingga 31 Des 2028 | php.net supported versions |
| PHP 8.3 (terbaru 8.3.35)                                            | Dukungan keamanan hingga 31 Des 2027 | php.net supported versions |
| PHP 8.2 (terbaru 8.2.34)                                            | Dukungan keamanan hingga 31 Des 2026 | php.net supported versions |
| Situs web dengan bahasa sisi server yang diketahui yang memakai PHP | 69,3%                                | W3Techs, 21 Okt 2026       |
| Porsi situs PHP yang memakai PHP 7 / PHP 5                          | 27,0% / 7,7%                         | W3Techs, 21 Okt 2026       |

Angka W3Techs penting karena sekitar sepertiga situs berbasis PHP dalam survei tersebut masih menjalankan PHP 7 atau PHP 5\. Cabang-cabang itu sudah berhenti menerima perbaikan resmi bertahun-tahun lalu. Bila celah ini memang menjangkau versi selama itu, situs-situs tersebut tidak akan mendapat tambalan dari proyek PHP.

## Yang perlu dilakukan administrator server sekarang

Satu-satunya perbaikan resmi adalah memasang rilis PHP yang sudah ditambal setelah diterbitkan. Sampai saat itu, panduan dari PHP, CERT-EU, Huntress, dan Sansec dapat diringkas menjadi langkah-langkah berikut.

1. **Inventarisasi setiap instalasi PHP.** Huntress menekankan bahwa PHP sering terbundel di dalam perangkat vendor, panel kendali hosting, dan paket CMS, bukan hanya terpasang sebagai paket mandiri.
2. **Bersiap menambal sistem yang terhubung ke internet lebih dulu.** Pantau halaman depan php.net dan milis php.announce untuk nomor versi perbaikan. Bila Anda mengandalkan paket distribusi Linux, periksa pelacak keamanan distribusi Anda, karena perbaikan yang di-backport mungkin memakai nomor versi berbeda.
3. **Hubungi penyedia hosting Anda.** Sansec mencatat bahwa perbaikan dilakukan di tingkat server dan tidak dapat diterapkan dari kode aplikasi, sehingga pemilik toko daring berbasis Magento, Shopware, atau WooCommerce yang tidak mengelola server sendiri sebaiknya meminta penyedia mereka memasang pembaruan segera setelah tersedia.
4. **Tangani PHP yang sudah habis masa dukungannya.** Huntress menyarankan agar setiap server yang memakai PHP 5, 7, 8.0, atau 8.1 ditingkatkan versinya, diputus dari jaringan, atau dibatasi di balik VPN atau web application firewall. CERT-EU merekomendasikan isolasi aplikasi yang terhubung ke internet bila penambalan tidak dapat segera dilakukan.
5. **Pertimbangkan langkah darurat tidak resmi dengan cermat.** Sejumlah peneliti menyarankan pengaturan `session.upload_progress.enabled = 0` di `php.ini`, `.user.ini`, atau konfigurasi server web. Unggahan berkas tetap berfungsi; yang berhenti hanya pelacakan kemajuannya. Ini bukan panduan PHP, dan setidaknya satu peneliti menyatakan langkah ini hanya memblokir salah satu dari dua celah.
6. **Waspadai tanda-tanda pembobolan.** Huntress mengutip peneliti deteksi Florian Roth, yang memperkirakan eksploitasi akan tampak sebagai "proses anak mencurigakan yang dijalankan oleh PHP". Artinya, worker PHP seperti php-fpm atau apache2 menjalankan shell atau alat pengunduh. Bila diduga terjadi pembobolan, isolasi server dan simpan log web serta log PHP sebelum melakukan pembersihan.

## Yang masih belum diketahui

Berdasarkan informasi publik terbaru sebelum rilis terjadwal, PHP belum memublikasikan versi yang terdampak, akar masalah, maupun cara mengatasi sementara yang resmi. Huntress menyatakan belum melihat eksploitasi di lapangan pada lingkungan mitranya hingga 20 Oktober, dan belum ada kode eksploit publik yang diketahui. Sansec memperkirakan serangan massal akan dimulai sekitar 15 menit setelah rilis; ini perkiraan, bukan hasil pengamatan. Apakah celah ini dapat dipicu tanpa autentikasi, dan pada konfigurasi server mana (mod\_php, PHP-FPM, CGI), juga belum dikonfirmasi.

## Apa artinya

PHP adalah bahasa sisi server yang menopang sebagian besar web, termasuk platform manajemen konten dan e-commerce yang banyak dipakai, sehingga celah yang dapat dieksploitasi dari jarak jauh di PHP sendiri berpotensi berdampak sangat luas. Berbeda dengan bug pada plugin, celah ini tidak dapat diperbaiki dengan memperbarui satu aplikasi saja. Setiap server harus diperbarui di tingkat runtime. Pengumuman awal memberi pengelola server waktu yang sempit untuk menyiapkan jadwal pemeliharaan dan menghubungi penyedia hosting. Risiko jangka panjang yang lebih besar ada pada banyaknya situs yang masih memakai versi PHP yang tidak didukung, yang mungkin tetap terpapar setelah hari ini kecuali ditingkatkan versinya atau dilindungi. Administrator sebaiknya menjadikan catatan rilis resmi PHP, bukan bocoran atau klaim di media sosial, sebagai rujukan sahih tentang apa yang terdampak dan apa yang sudah diperbaiki.

## Pertanyaan umum

### Kapan perbaikan keamanan PHP dirilis?

Tim keamanan PHP menjadwalkan rilis pada Rabu, 21 Oktober 2026 pukul 14.00 UTC, dan menyatakan dapat merilisnya lebih awal bila detailnya terungkap ke publik atau eksploitasi terdeteksi.

### Versi PHP mana yang terdampak?

PHP belum menyebutkan versi yang terdampak; daftar versi akan diumumkan bersama rilis. Laporan pihak ketiga menyebut versi hingga PHP 5 mungkin terdampak, tetapi hal itu belum dikonfirmasi. Saat ini hanya PHP 8.2 sampai 8.5 yang masih menerima perbaikan keamanan.

### Apakah menonaktifkan session.upload\_progress melindungi server saya?

Itu langkah darurat tidak resmi yang disarankan peneliti, bukan panduan PHP. Setidaknya satu peneliti menyatakan langkah itu hanya menutup salah satu dari dua celah, sehingga memasang rilis resmi yang sudah ditambal tetap satu-satunya perbaikan yang terkonfirmasi.

### Apa nomor CVE kerentanan ini?

CERT-EU mencatat kerentanan ini sebagai CVE-2026-109618 dan CVE-2026-109619, keduanya berskor 9.2 pada skala CVSS v4.0.

### Apa yang harus saya lakukan bila server memakai PHP versi lama?

Perusahaan keamanan menyarankan peningkatan ke cabang yang masih didukung, atau membatasi akses di balik VPN atau web application firewall, karena versi yang sudah habis masa dukungannya tidak diperkirakan menerima perbaikan resmi.

## Sumber

- [PHP php.announce #509: Upcoming Critical PHP Security Release (20 Oct 2026)](https://news-web.php.net/php.announce/509?ref=bullquill.com)
- [PHP.net front page: news and security announcements](https://www.php.net/?ref=bullquill.com)
- [PHP.net: Supported versions](https://www.php.net/supported-versions.php?ref=bullquill.com)
- [PHP manual: Session runtime configuration](https://www.php.net/manual/en/session.configuration.php?ref=bullquill.com)
- [PHP manual: Session upload progress](https://www.php.net/manual/en/session.upload-progress.php?ref=bullquill.com)
- [CERT-EU Security Advisory 2026-018: Critical Vulnerabilities in PHP](https://cert.europa.eu/publications/security-advisories/2026-018/?ref=bullquill.com)
- [Huntress: Rapid Response, php2shell leaked critical PHP vulnerabilities](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities?ref=bullquill.com)
- [Sansec: Critical PHP RCE, CVE-2026-109618 and CVE-2026-109619](https://sansec.io/research/php2shell?ref=bullquill.com)
- [Lilting: Disabling session.upload\_progress before the php2shell patch lands](https://lilting.ch/en/articles/php2shell-session-upload-progress-uaf?ref=bullquill.com)
- [W3Techs: Usage statistics of PHP for websites](https://w3techs.com/technologies/details/pl-php?ref=bullquill.com)