Telset.id – PHP, salah satu bahasa pemrograman paling populer untuk situs web dan aplikasi web di dunia, mengandung dua kerentanan tingkat kritis yang dapat membuka banyak situs terhadap serangan remote code execution (RCE). Kerentanan ini berpotensi berujung pada pengambilalihan situs web, pencurian data, hingga pengalihan berbahaya.
Kepanikan di kalangan administrator muncul bukan hanya karena tingkat keparahannya, tetapi karena detail kedua celah kritis PHP tersebut bocor ke publik sebelum patch resmi dirilis. PHP pun menerbitkan security advisory lebih awal sebagai peringatan darurat kepada seluruh pengguna.
Security advisory tersebut menyebutkan bahwa PHP security team akan merilis patch pada Rabu, 21 Oktober 2026 pukul 14:00 UTC. Patch itu ditujukan untuk mengatasi dua kerentanan kritis yang keduanya memiliki rating CVSS v4.0 sebesar 9,2.
“Semua pengguna PHP didorong untuk bersiap sekarang agar dapat melakukan upgrade segera setelah rilis tersedia,” demikian bunyi advisory tersebut. PHP juga menyatakan pihaknya berhak merilis lebih awal apabila detail salah satu kerentanan menjadi publik atau muncul bukti eksploitasi aktif di lapangan.
Baca Juga:
Kebocoran yang Memaksa PHP Bergerak Cepat
Penerbitan advisory lebih awal ini terbilang tidak lazim. Sebabnya, seseorang dengan alias ‘petecooper’ mempublikasikan unggahan di forum Hacker News milik Y Combinator lebih awal pada pekan ini. Dalam unggahan tersebut, ia mengklaim PHP akan mengungkap dua bug remote code execution pada 22 Oktober 2026.
Unggahan itu belakangan telah dihapus sehingga tidak dapat diverifikasi secara independen. Namun BleepingComputer melaporkan bahwa unggahan tersebut mengklaim kedua bug memiliki skor CVSS 10,0 dan memengaruhi versi PHP sejak PHP 5. Unggahan itu juga melabeli bug sebagai CVE-2026-109618 dan CVE-2026-109619, yang kemudian terkonfirmasi. Artinya, satu-satunya yang keliru adalah skor CVSS, yang tampaknya 9,2, bukan 10,0.
Di antara pihak yang mengetahui keberadaan celah tersebut dan patch yang akan datang adalah watchTowr serta Florian Roth, Head of Research di Nextron Systems. Embargo berita semula dijadwalkan pada 20 Oktober, dengan patch menyusul sehari kemudian pada 21 Oktober. Namun Roth lantas mengunggah di X, “Okay, since the news is already out: an RCE vulnerability in PHP core, CVSS 10.0. Further details are scheduled for release on October 20. Only PHP 8 will receive patches.”
Kebocoran tersebut memaksa PHP mengambil langkah cepat, tidak hanya merilis advisory, tetapi juga mengirim pemberitahuan ke mailing list ANNOUNCE miliknya, menurut laporan BleepingComputer. Peneliti keamanan watchTowr mengonfirmasi berita itu dan menyebut kedua bug dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, dengan julukan “php2shell” di komunitas.
“Dalam satu jam terakhir, dua kerentanan remote code execution di PHP telah bocor. Kerentanan ini sebelumnya dijadwalkan di bawah embargo dan akan dirilis pada Kamis pukul 11 pagi ET,” kata CEO watchTowr Benjamin Harris kepada BleepingComputer. “Meski kami tidak dapat membagikan informasi teknis saat ini untuk alasan yang jelas, mengingat sensitivitasnya, kami dapat mengonfirmasi bahwa kerentanan ini memang nyata. Keduanya adalah CVSS10 dan dipahami memengaruhi versi PHP 5, 6, 7, dan 8.”
Para peneliti juga menyatakan kepada publikasi tersebut bahwa mereka berhasil mereproduksi CVE-2026-109618, mengonfirmasi bahwa celah tersebut benar-benar berfungsi. Kabar baiknya, hingga kini belum ada laporan terkonfirmasi bahwa celah tersebut dieksploitasi sebagai zero-day di lapangan.
Dampak Luas dan Peringatan Upgrade
Detail teknis sengaja ditahan untuk melindungi pengguna, tetapi celah ini kemungkinan besar memengaruhi PHP versi 5, 6, 7, dan 8. Mengingat posisi PHP sebagai bahasa pemrograman yang menopang banyak situs dan aplikasi web, dampaknya diperkirakan meluas ke berbagai platform.
Kedua kerentanan tersebut dapat memicu pengambilalihan situs web, pencurian data, pengalihan berbahaya, dan berbagai situasi berbahaya serupa. Karena itu, PHP menegaskan agar seluruh pengguna segera bersiap melakukan upgrade begitu rilis tersedia.
Bagi pelaku bisnis dan pengelola situs, peringatan ini menambah daftar prioritas keamanan yang harus ditangani. Sebelumnya, tren pembuatan situs juga bergeser dengan munculnya berbagai alat berbasis AI, seperti yang terlihat dari AI website builder untuk bisnis kecil. Namun, kemudahan membangun situs tetap harus diimbangi dengan kesiapan menambal celah keamanan.
Pergeseran lanskap pengembangan web juga tercermin dari pesanan freelance yang dilaporkan anjlok akibat AI. Di tengah perubahan itu, isu keamanan inti seperti celah pada PHP tetap menjadi fondasi yang tidak bisa diabaikan oleh siapa pun yang menjalankan situs.
PHP sendiri menegaskan bahwa detail lengkap, versi yang terdampak, dan versi perbaikan akan dipublikasikan bersamaan dengan rilis patch. Sampai saat itu, satu-satunya langkah yang dapat diambil pengguna adalah bersiap melakukan upgrade secepatnya begitu patch tersedia.
Kedua celah kritis ini tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 dengan rating CVSS v4.0 9,2. Meski belum ada bukti eksploitasi aktif, kebocoran detail sebelum patch resmi membuat tekanan pada administrator situs meningkat. Patch dijadwalkan tersedia pada 21 Oktober 2026 pukul 14:00 UTC, dan PHP mendorong seluruh pengguna untuk melakukan upgrade segera setelahnya.
[ META_DESCRIPTION]
PHP mengungkap dua kerentanan kritis RCE dengan CVSS 9,2 yang bocor sebelum patch. Pengguna diminta segera upgrade pada 21 Oktober 2026.
Komentar
Belum ada komentar.