Pemberitahuan Keamanan – PHP (CVE-2026-109618 dan CVE-2026-109619)
Pelanggan HostingCeria Terhormat,
Kami informasikan adanya dua celah keamanan kritis pada modul PHP dengan identitas CVE-2026-109618 (RCE via OOM corruption) dan CVE-2026-109619 (RCE via stale global state),
Sebagai referensi, informasi lebih lanjut mengenai celah keamanan ini dapat dilihat pada link berikut ini:
- https://www.php.net/archive/2026.php#2026-10-21-5
- https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
Berdasarkan rilis informasi pihak pengembang PHP, kedua kerentanan tersebut dapat memungkinkan pihak yang tidak diinginkan untuk menjalankan kode/syntax secara remote (Remote Code Execution) tanpa autentikasi apa pun. Risiko mencakup seluruh instalasi PHP yang berkaitan dengan request website, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php, karena serangan dapat dipicu sebelum kode aplikasi dijalankan.
Versi PHP yang terdampak:
- PHP 8.1 dan yang lebih lama (sudah tidak menerima pembaruan resmi).
- PHP 8.2.x sebelum 8.2.35.
- PHP 8.3.x sebelum 8.3.36.
- PHP 8.4.x sebelum 8.4.27.
- PHP 8.5.x sebelum 8.5.12.
Versi yang telah memperoleh perbaikan keamanan:
- PHP v8.1 dan yang lebih lama (via patch CloudLinux).
- PHP 8.2.x → 8.2.35 atau lebih baru.
- PHP 8.3.x → 8.3.36 atau lebih baru.
- PHP 8.4.x → 8.4.27 atau lebih baru.
- PHP 8.5.x → 8.5.12 atau lebih baru.
Langkah yang direkomendasikan:
Kami sarankan agar dapat segera menggunakan PHP ke versi yang telah diperbaiki atau minimal menggunakan versi v8.2/8.3
Bagi pengguna PHP v8.1 atau yang lebih lama, kami menyarankan untuk melakukan upgrade ke versi PHP yang masih didukung. Sebelum melakukan update PHP, kami juga menyarankan beberapa langkah dibawah ini.
- Lakukan backup website secara menyeluruh, termasuk file website dan database.
- Pastikan aplikasi, CMS, plugin, dan tema yang digunakan kompatibel dengan versi PHP yang akan digunakan.
- Apabila dimungkinkan, lakukan pengujian terlebih dahulu pada environment staging atau development sebelum melakukan update pada website production.
Untuk pengguna layanan Hosting cPanel dan VPS cPanel/Webuzo, saat ini semua versi PHP sudah kami lakukan update sesuai versi perbaikan dari CloudLinux ataupun dari Upstream Distro, namun jika masih menggunakan dibawah PHP v8.1 maka disarankan sebagai berikut:
- Lakukan backup website secara menyeluruh, termasuk file website dan database.
- Menghubungi kembali developer web anda untuk melakukan perbaikan kompatibilitas ke versi PHP v8.2
- Pastikan seluruh CMS dan plugin yang digunakan sudah kompatibel dengan minimum PHP v8.2
Untuk pengguna layanan VPS non cPanel/Webuzo dapat melakukan mitigasi tambahan:
- Segera lakukan update kernel dan juga package PHP yang digunakan minimal sesuai versi yang disarankan diatas serta lakukan reboot setelahnya jika dimungkinkan.
- Menghapus opsi/penggunaan PHP v8.1 dan juga versi dibawahnya.
- Menonaktifkan fitur session upload progress dengan men-set session.upload_progress.enabled=0 pada konfigurasi PHP (php.ini atau konfigurasi pool), lalu me-restart service PHP.
- Untuk PHP 8.5, men-set fatal_error_backtraces=0 lalu me-restart service PHP.
- Membatasi ukuran request, sebagai contoh konfigurasi post_max_size = 8M untuk aplikasi yang tidak memerlukan upload file, atau post_max_size = 32M jika upload file diperlukan, serta memastikan upload_max_filesize tetap di bawah post_max_size.
- Memperbaiki error fatal, warning, dan deprecation yang muncul pada aplikasi, serta menghapus konfigurasi PHP yang sudah usang.
Setelah proses update selesai:
Kami sarankan untuk:
- Pastikan seluruh aplikasi, plugin, dan tema berjalan normal dengan versi PHP yang baru.
- Lakukan pengujian terhadap fungsi utama website.
- Memeriksa akun administrator yang tidak dikenal, file yang mencurigakan, serta aktivitas yang tidak biasa pada website dan log server.
Apabila terdapat pertanyaan atau hal lain yang ingin disampaikan, silakan menghubungi HostingCeria kembali melalui:
Demikian informasi yang dapat kami sampaikan, atas perhatiannya kami ucapkan terima kasih.
