Rilis Keamanan PHP! CVE-2926-109618/619

[reyokh]

Kerentanan RCE pada PHP. Dapat dikonfirmasi bahwa kerentanan tersebut CVE-2926-109618/619

Bagi siapa pun yang menjalankan PHP, dua kerentanan serius akan ditangani dalam rilis yang dijadwalkan pada hari Rabu, 21 Oktober 2026 pukul 14.00 UTC.

Sementara itu, langkah mitigasi sementara yang disarankan adalah dengan menambahkan baris berikut ke dalam file php.ini:

session.upload_progress.enabled = Off


informasi terkait ini bisa dilihat di:

PHP: News Archive - 2026

PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.

www.php.net

Only for the curious...

jackalsyn.com

https://twitter.com/x/status/2112641845926989944

efeknya akan sangat luas sekali karena penggunaan PHP yang sangat luas, dikutip dari LES

PHP-based billing panels:

• WHMCS
• Blesta
• HostBill
• BillingServ
• ClientExec
• FOSSBilling

What hackers can do:

• leak customer data — GDPR lawsuits
• charge stored cards (although money goes to you) — chargebacks
• call hypervisor API (see below)

PHP-based hypervisor panels:

• SolusVM 1.x
• Virtualizor
• VirtFusion
• Tenantos
• Convoy

What hackers can do:

• delete VPS — angry tickets from and refunds for managed clients, drama threads from unmanaged clients
• create VPS — mine monero, send spam — your IP listed on Spamhaus
• do naughty inside the VPS (see below)

PHP-based shared hosting panels:

• Plesk
• ISPConfig
• Froxlor

What hackers can do:

• delete files, deface website, wipe databases — angry tickets from and refunds for managed clients, drama threads from unmanaged clients

dan yang terutama penggunaan PHP di seluruh WordPress

 

[reyokh]

dikutip dari Gemini:

CVE-2026-109618 dan CVE-2026-109619 (yang dikenal dengan nama julukan PHP2Shell) adalah dua celah keamanan kritis berskala CVSS 9.2 pada core/mesin PHP yang memungkinkan penyerang tanpa hak akses (unauthenticated) untuk mengeksekusi kode perintah jarak jauh (Remote Code Execution/RCE).


Secara umum, cara kerja kedua kerentanan ini memanfaatkan mekanisme penanganan kesalahan memori PHP (out-of-memory error handling) menggunakan fungsi longjmp(). Berikut adalah rincian teknis mengenai cara kerjanya:

1. Cara Kerja CVE-2026-109618 (RCE via OOM Corruption)
Celah ini terjadi akibat kerusakan data memori ketika PHP kehabisan memori (out-of-memory/OOM):

• Proses Awal: Ketika server menerima request data (seperti unggahan berkas atau input form tertentu), PHP mulai menginisialisasi variabel dan data internal di memorinya.
• Interupsi OOM: Penyerang dapat mengirimkan struktur muatan (payload) yang sengaja memicu kondisi kehabisan memori (OOM) secara instan di tengah jalan. PHP kemudian menggunakan fungsi longjmp() untuk melompat keluar dari konteks eksekusi saat itu demi menggagalkan pemrosesan request.
• Kondisi Tidak Terinisialisasi: Interupsi mendadak ini membuat data internal request tersebut baru terinisialisasi sebagian (partially initialized) atau tertinggal dalam keadaan acak di memori.
• Eksploitasi Cleanup: Ketika PHP melakukan prosedur pembersihan otomatis (request cleanup), mekanisme pembersih tersebut keliru menganggap memori acak/tidak valid tadi sebagai data yang sah. Penyerang yang telah memanipulasi isi memori tersebut dapat mengarahkan PHP untuk mengeksekusi kode biner jahat di level server.

2. Cara Kerja CVE-2026-109619 (RCE via Stale Global State)
Celah ini memanfaatkan sisa-sisa status data (state) yang tertinggal di memori antar request:

• Pemicu Error Global: Sama seperti celah pertama, penyerang memicu kesalahan fatal menggunakan manipulasi tertentu yang memaksa PHP melakukan penanganan error longjmp().
• Memori Bebas tapi Pointer Tetap Ada: Akibat penanganan error tersebut, memori yang menampung status internal request telah dibebaskan (freed), tetapi penunjuk (pointer) global PHP masih tetap mengarah ke lokasi alamat memori lama tersebut. Kondisi ini sering dikenal dengan isu Use-After-Free atau sisa data usang (stale state).
• Eksekusi pada Request Berikutnya: Ketika pekerja (worker) PHP yang sama menangani request HTTP berikutnya dari penyerang, PHP akan membaca atau bercabang (branching) menggunakan status usang yang belum diatur ulang (reset) oleh inisialisasi normal. Dengan mengisi alamat memori tersebut menggunakan instruksi berbahaya, penyerang berhasil mengambil alih alur eksekusi aplikasi.

Hubungan dengan Fitur Unggulan (session.upload_progress)
Bocoran teknis di komunitas keamanan mengaitkan eksploitasi PHP2Shell ini dengan fitur bawaan session.upload_progress yang aktif secara default sejak PHP 5.4. Fitur ini bertugas melacak progres unggahan berkas di memori. Penyerang memanfaatkan fitur ini untuk menyuntikkan muatan besar lewat HTTP tanpa perlu login/autentikasi ke aplikasi (seperti WordPress, Magento, Laravel, dll.) guna memicu kondisi memori korup di atas.

Langkah Mitigasi Segera
Karena celah ini berada pada level engine PHP, Anda tidak bisa memperbaikinya dari sisi kode aplikasi (seperti tema atau plugin). Langkah yang harus dilakukan:

1. • Update PHP Anda: Segera lakukan pembaruan ke versi resmi yang aman: 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. (Catatan: PHP versi 8.1 ke bawah yang sudah End-of-Life tidak mendapatkan patch resmi).
   • Mitigasi Sementara (Jika belum bisa update): Matikan fungsi progres unggahan di file konfigurasi php.ini Anda untuk menutup jalur serangan utama: