PHP Rilis Patch Dua Celah RCE Kritis
Judul asli: Today's PHP security release, and how we're strengthening security
Mengapa Ini Penting
PHP mentenagai jutaan server; celah RCE tanpa autentikasi di komponen inti adalah risiko industri nyata.
PHP Foundation merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026, menambal dua celah RCE kritis yang memungkinkan penyerang tanpa autentikasi menjalankan kode di server.
Dua celah keamanan kritis telah ditambal dalam rilis PHP terbaru hari ini. Pertama, CVE-2026-109618, terkait korupsi memori saat PHP mencapai batas memori (memory_limit) di momen yang salah. Di Apache dengan mod_php, eksploitasi bisa terjadi sebelum kode aplikasi berjalan — dan eksekusi kode jarak jauh berhasil didemonstrasikan dengan konfigurasi default. Celah kedua, CVE-2026-109619, memanfaatkan kondisi stale state: fatal error di titik yang salah bisa meninggalkan pointer ke memori dari permintaan sebelumnya, membuka celah use-after-free. Kedua celah berada di komponen yang disentuh hampir setiap permintaan: manajemen memori dan penanganan error.
Akar masalah ini ditemukan saat memperbaiki temuan audit keamanan eksternal pertama PHP dalam bertahun-tahun, yang dilakukan oleh Quarkslab melalui OSTIF dan didanai Sovereign Tech Agency pada 2024. Saat itu, potensi eksploitasi CVE-2026-109618 sudah diteorikan, namun vektor konkret belum ditemukan. Tim keamanan PHP mengembangkan beberapa pendekatan perbaikan, tapi masing-masing membawa kompromi: pelanggaran kompatibilitas mundur, potensi denial-of-service baru, atau kebutuhan koordinasi perubahan pada banyak ekstensi pihak ketiga. PHP Foundation mengakui terus terang: keterlambatan ini adalah kegagalan struktural akibat proses pengambilan keputusan yang lambat dan keterbatasan sumber daya tim keamanan.