Apa Itu Dua Celah RCE Kritis PHP dan Mengapa Ini Darurat
Dua celah RCE kritis PHP adalah kerentanan di runtime inti PHP yang memungkinkan penyerang tanpa autentikasi menjalankan kode jarak jauh di server dan mengakses memori, memengaruhi hampir semua versi utama PHP yang digunakan untuk menjalankan sebagian besar aplikasi web modern. Ini bukan sekadar bug biasa; ini adalah PHP keamanan kritis yang mengubah setiap server PHP menjadi target empuk. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, memungkinkan eksekusi kode jarak jauh (celah RCE PHP) tanpa login dan bahkan kebocoran data memori sistem. Dengan skor CVSS 9,2, ancaman ini berada di level di mana satu eksploit bisa berarti pengambilalihan penuh server produksi. Jika Anda mengelola situs berbasis PHP dan belum memikirkan update, Anda sedang berjudi dengan integritas data dan kepercayaan pengguna.
Siapa yang Terdampak: Dari PHP 5.4 hingga 8.5.11, Termasuk WordPress dan Kawan-kawan
Fakta pahitnya: jangkauan kerentanan server PHP ini hampir total. Laporan menyebut bahwa insiden ini melibatkan hampir seluruh lini runtime PHP, mulai dari versi warisan PHP 5.4 hingga versi terkini PHP 8.5.11. Artinya, dari aplikasi monolit lama sampai microservice baru yang memakai PHP modern, semua berpotensi terbuka. PHP sendiri berjalan di server sebagian besar web; WordPress, Joomla, Drupal, dan Nextcloud sama-sama ditulis dengan PHP. Menurut data yang dikutip, PHP digunakan oleh 69,3 persen situs web yang bahasa pemrograman sisi server-nya diketahui. Dengan dominasi sebesar itu, dua celah RCE PHP di inti bahasa berarti jutaan situs, dari blog kecil hingga platform besar, berada dalam garis tembak. Menganggap ini sebagai masalah “orang lain” adalah ilusi berbahaya.
Bagaimana Dua Celah Ini Bekerja: Dari OOM Corruption ke Use-After-Free
Untuk developer, memahami sifat celah ini penting agar tidak meremehkan risikonya. Celah pertama, CVE-2026-109618, berakar pada cara PHP menangani kondisi kehabisan memori (out-of-memory) saat data permintaan internal baru terinisialisasi sebagian. Mekanisme pembersihan permintaan bisa keliru memperlakukan data yang tidak valid sebagai data sah, membuka peluang eksekusi kode. Celah kedua, CVE-2026-109619, adalah kasus use-after-free: status internal permintaan masih bertahan meski memori penampungnya sudah dibebaskan, sehingga permintaan berikutnya pada worker yang sama dapat memanfaatkan status usang tersebut. Kedua pola ini bukan bug permukaan; ini cacat di level runtime inti yang memengaruhi banyak skenario eksekusi. Ditambah lagi, keduanya memungkinkan RCE tanpa autentikasi, sehingga tidak perlu kredensial apa pun untuk memicu serangan.
Update PHP 8.5.12 dan Patch Cabang Lain: Apa yang Sebenarnya Diperbaiki
Kabar baiknya: patch resmi sudah tersedia, dan cukup matang untuk dipakai di produksi. PHP 8.5.12 adalah rilis keamanan cabang 8.5 yang memuat 90 perbaikan di 29 komponen, termasuk patch untuk dua celah kritis CVE-2026-109618 dan CVE-2026-109619. Pengumuman resmi menyebut kedua kerentanan kritis ini berskor CVSS 9,2 dan ditambal di empat cabang pada hari yang sama. Versi yang sudah diperbaiki adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Ini berarti Anda tidak perlu lompat versi mayor; cukup naik ke patch terakhir di cabang yang sudah dipakai. Selain dua celah RCE PHP, rilis ini juga menutup lebih dari selusin masalah memori lain—heap buffer overflow, use-after-free di DOM, SOAP, Tidy, BZ2, dan bug di Opcache serta JIT. Mengabaikan update PHP 8.5.12 dan patch cabang lain sama saja membiarkan pintu belakang tetap terbuka.
Langkah Konkret untuk Developer: Dari Patch Darurat ke Strategi Keamanan Jangka Panjang
Sekarang bagian yang tidak boleh ditunda: tindakan. Advisory resmi menyebut beberapa mitigasi parsial seperti mengatur memory_limit=-1, menurunkan post_max_size, mematikan session.upload_progress.enabled, dan pada PHP 8.5 mematikan fatal_error_backtraces. Namun mereka menegaskan bahwa tak satu pun membuat instalasi aman dan satu-satunya langkah tuntas adalah memperbarui. Tim pengembang PHP telah merilis tambalan resmi yang wajib segera diterapkan pada branch versi yang masih aktif menerima pemeliharaan. Perbaikan terbit untuk empat cabang sekaligus; tetaplah di cabang yang sudah dipakai dan naikkan ke patch terakhir tanpa berganti versi mayor. Secara praktis, jadikan update PHP 8.5.12 dan patch cabang lain sebagai prioritas sprint terdekat, uji di staging, lalu rilis terkontrol. Ke depan, jadwalkan window patch rutin dan ikuti proses patching transparan dari PHP Foundation yang sudah menjelaskan kronologi penemuan dan alasan percepatan rilis tambalan keamanan. Keamanan bukan fitur tambahan; ini bagian dari definisi “aplikasi siap produksi”.
