Darurat Patch PHP: Dua Kerentanan Kritis CVSS 9.2, Rilis Fix Malam Ini Pukul 21:00 WIB

Ringkasan

Tim keamanan PHP mengumumkan lebih awal akan ada rilis keamanan yang dijadwalkan Rabu, 21 Oktober 2026 pukul 14:00 UTC, atau pukul 21:00 WIB. Rilis ini menambal dua kerentanan kritis yang masing-masing diberi skor CVSS v4.0 9.2.

CERT-EU (tim tanggap insiden siber lembaga-lembaga Uni Eropa) langsung menerbitkan Security Advisory 2026-018. Kedua celah tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Detail teknisnya belum dibuka, tapi skor CVSS-nya mengindikasikan potensi remote code execution tanpa autentikasi.

Bahasa sederhananya: penyerang berpotensi menjalankan perintah di server Anda tanpa perlu login. Ini skenario terburuk untuk aplikasi web.

Kenapa Ini Serius?

1. PHP ada di mana-mana. WordPress, Laravel, CodeIgniter, Magento, Moodle, panel hosting, dan banyak aplikasi internal perusahaan berjalan di atas PHP.
2. Cakupan versinya diduga sangat luas. Menurut CERT-EU, kerentanan ini bisa berdampak pada semua versi PHP sejak PHP 5. Perlu dicatat, informasi ini berasal dari laporan peneliti di media sosial, belum dari pengumuman resmi PHP. PHP sendiri menyatakan versi terdampak dan versi perbaikan baru akan diumumkan bersamaan dengan rilisnya.
3. Jendela waktunya sempit. Begitu patch keluar, penyerang bisa membandingkan kode lama dan baru (patch diffing) untuk membuat exploit. Waktu dari rilis patch sampai serangan massal bisa hanya hitungan jam sampai hari.
4. Rilis bisa dipercepat. Tim PHP menyatakan berhak merilis lebih awal kalau detail kerentanan bocor ke publik atau kalau ada bukti eksploitasi aktif.

Yang Perlu Dilakukan Sekarang (Sebelum 21:00 WIB)

1. Inventarisasi semua aset PHP

Anda tidak bisa menambal server yang tidak Anda ketahui keberadaannya.

php -v                      # versi PHP CLI
php-fpm -v                  # versi PHP-FPM
dpkg -l | grep php          # Debian/Ubuntu
rpm -qa | grep php          # RHEL/Rocky/Alma

Jangan lupa cek container image (Dockerfile dengan FROM php:...), shared hosting, server staging yang terlupakan, dan aplikasi vendor. Kalau Anda pakai SIEM seperti Wazuh, modul syscollector (inventaris paket) bisa dipakai untuk menarik daftar paket PHP dari semua agent sekaligus.

2. Prioritaskan yang menghadap internet

Urutkan berdasarkan risiko: aplikasi publik > portal partner/VPN > aplikasi internal.

3. Tandai versi PHP yang sudah End-of-Life

Dalam beberapa bulan terakhir, PHP masih merilis update keamanan untuk cabang 8.2, 8.3, 8.4, dan 8.5. Kalau Anda masih di PHP 8.1, 7.x, atau 5.x, kemungkinan besar tidak akan ada patch resmi. Pilihannya: patch backport dari vendor distro (Ubuntu/Debian/RHEL), dukungan berbayar dari pihak ketiga, atau mempercepat migrasi.

4. Siapkan jalur deployment

• Siapkan staging untuk uji cepat setelah patch rilis
• Jadwalkan maintenance window malam ini atau besok pagi
• Pastikan backup dan snapshot tersedia untuk rollback

5. Mitigasi sementara kalau belum bisa patch

CERT-EU menyarankan agar aplikasi yang menghadap internet dipertimbangkan untuk diisolasi dari jaringan publik sampai perbaikan bisa diterapkan, jika patch segera tidak memungkinkan. Langkah lain yang bisa membantu:

• Batasi akses panel admin hanya dari IP tertentu atau lewat VPN
• Aktifkan/perketat aturan WAF (ModSecurity, Cloudflare, dll.)
• Matikan aplikasi PHP yang tidak terpakai

6. Perketat monitoring (sudut pandang Blue Team)

Selama exploit belum dikenal, fokus ke perilaku pasca-eksploitasi, bukan signature:

• Proses sh, bash, curl, wget, atau nc yang di-spawn oleh php-fpm, apache2, httpd, atau user www-data
• File .php baru yang muncul di direktori upload atau web root (indikasi webshell)
• Koneksi keluar yang tidak biasa dari server web
• Lonjakan error 500 atau crash PHP-FPM (bisa jadi indikasi percobaan exploit memory corruption)

Sudut Pandang Compliance

Untuk organisasi yang menjalankan ISO 27001, ini adalah ujian nyata kontrol A.8.8 Management of Technical Vulnerabilities. Bagi perusahaan di bawah pengawasan OJK atau BI, kecepatan respons terhadap kerentanan kritis juga menjadi bagian dari bukti tata kelola keamanan TI yang akan ditanyakan auditor.

Dokumentasikan:

• Kapan advisory diterima dan siapa yang menilai dampaknya
• Daftar aset terdampak
• Keputusan mitigasi dan alasannya
• Waktu patch diterapkan per aset

Catatan ini akan sangat berguna saat audit berikutnya.

Checklist Singkat

• ☐ Inventaris seluruh server, container, dan aplikasi PHP
• ☐ Tandai yang menghadap internet dan yang versi EOL
• ☐ Siapkan staging dan maintenance window
• ☐ Terapkan mitigasi sementara (WAF, pembatasan akses, isolasi)
• ☐ Aktifkan monitoring perilaku mencurigakan di server web
• ☐ Patch segera setelah rilis 21:00 WIB
• ☐ Dokumentasikan seluruh proses untuk audit

Referensi

• CERT-EU Security Advisory 2026-018
• Pengumuman resmi PHP: Upcoming Critical PHP Security Release

Artikel ini akan diperbarui setelah PHP merilis detail teknis, versi terdampak, dan versi perbaikan.