Peringatan Keamanan: Kerentanan Kritis CVE-2026-109618 & CVE-2026-109619 pada PHP

Banda Aceh-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kota Banda Aceh yang menggunakan layanan berbasis PHP untuk segera melakukan pemeriksaan dan pembaruan terhadap kerentanan CVE-2026-109618 dan CVE-2026-109619. Kedua kerentanan yang dikenal dengan sebutan PHP2SHELL ini memiliki tingkat risiko Critical dengan skor CVSS 3.x sebesar 9.8, dan berpotensi memungkinkan penyerang jarak jauh tanpa autentikasi melakukan Remote Code Execution (RCE) pada server yang terdampak.

Ikhtisar

Peringatan ini menyoroti dua kerentanan kritis yang berdampak pada pengelolaan memori proses PHP:

• CVE-2026-109618: Merupakan kerentanan pada mekanisme penanganan out-of-memory (OOM) di PHP. Penyerang jarak jauh tanpa autentikasi dapat mengirimkan HTTP request yang dirancang khusus untuk memicu kondisi kesalahan ini, sehingga menyebabkan memory corruption dan membuka celah eksploitasi eksekusi kode.
• CVE-2026-109619: Merupakan kerentanan Use After Free (UAF) yang terjadi ketika PHP mengakses kembali memori yang telah dibebaskan, tetapi masih dirujuk oleh status internal proses. Kondisi pemrosesan permintaan tertentu dan konfigurasi lingkungan PHP dapat memuluskan jalan bagi penyerang untuk mengeksploitasi celah ini.

Dampak

Eksploitasi yang berhasil dapat memberikan konsekuensi sebagai berikut:

• Terjadinya kerusakan memori (memory corruption) pada runtime PHP.
• Penyerang dapat memanipulasi alur eksekusi proses PHP.
• Terjadinya Remote Code Execution (RCE) yang memungkinkan penyerang menjalankan perintah berbahaya pada server tanpa memerlukan autentikasi.

Sistem yang Terdampak

Detail Teknis

Akar permasalahan dari kerentanan ini berpusat pada penanganan kondisi kesalahan dan kontrol memori sekuensial. CVE-2026-109618 berhubungan dengan CWE-1325 (Improperly Controlled Sequential Memory Allocation) dan CWE-755 (Improper Handling of Exceptional Conditions), di mana kondisi out-of-memory memicu pemrosesan status internal yang tidak valid. Sementara itu, CVE-2026-109619 diklasifikasikan dalam CWE-416 (Use After Free) dan CWE-824 (Access of Uninitialized Pointer), yang mengindikasikan bahwa PHP rentan mengakses pointer yang belum diinisialisasi atau menggunakan kembali referensi memori secara tidak aman setelah proses pembebasan memori terjadi.

Rekomendasi

• Lakukan pembaruan segera. Mutakhirkan versi PHP ke rilis perbaikan yang sesuai dengan branch yang digunakan (8.5.12, 8.4.27, 8.3.36, atau 8.2.35). Untuk pengguna PHP 8.1 atau yang lebih lama, sangat disarankan untuk melakukan peningkatan versi (upgrade) ke branch yang masih didukung secara resmi.
• Terapkan pada seluruh komponen. Pastikan pembaruan diterapkan pada seluruh runtime PHP yang memproses layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi.
• Mulai ulang layanan (Restart). Lakukan restart pada web server dan layanan terkait PHP setelah proses pembaruan selesai guna memastikan patch dimuat sepenuhnya ke dalam memori.
• Terapkan mitigasi sementara (Jika patch tertunda). Apabila pembaruan tidak dapat segera dilakukan, batasi akses jaringan ke sistem yang terdampak atau isolasi layanan yang terhubung langsung ke internet hingga patch siap diterapkan.

Perangkat Daerah yang mengelola sistem atau aplikasi berbasis PHP dan membutuhkan pendampingan teknis terkait proses pembaruan, isolasi jaringan, maupun pemeriksaan indikasi kompromi dapat menghubungi Banda Aceh-CSIRT melalui kanal pelaporan resmi.

Referensi

• NVD CVE-2026-109618 — https://nvd.nist.gov/vuln/detail/cve-2026-109618
• NVD CVE-2026-109619 — https://nvd.nist.gov/vuln/detail/cve-2026-109619
• NCSC Security Issue Affecting PHP — https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
• The Hacker News — https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
• Wiz PHP2SHELL — https://www.wiz.io/blog/php2shell-php-rce