Melalui pemberitahuan dan artikel edukasi keamanan ini, tim teknis PT Bonet Utama menginformasikan adanya pembaruan keamanan kritis yang dirilis secara resmi oleh tim pengembang PHP pada Rabu, 21 Oktober 2026. Pembaruan ini menutupi dua celah kerentanan kritis yang berpotensi memengaruhi keamanan website, aplikasi web, dan server yang menggunakan layanan PHP.
1. Menganalisis Ancaman: Dua Celah RCE Kritis PHP
Dua celah keamanan terbaru ini dikategorikan sebagai Kritis dengan skor CVSS v4.0 sebesar 9.2. Ancaman terbesar dari kerentanan ini adalah risiko Unauthenticated Remote Code Execution (RCE), di mana penyerang luar dapat mengeksekusi kode berbahaya secara jarak jauh tanpa perlu login atau memiliki hak akses, bahkan sebelum kode aplikasi web Anda sempat berjalan.
Berikut detail teknis dua kerentanan yang perlu diwaspadai:
A. RCE via OOM Corruption (CVE-2026-109618 / GHSA-w8hw-w9fx-j79w)
- Mekanisme Kerja: Kerentanan terjadi ketika penanganan Out-of-Memory (OOM) memutus alur kerja PHP saat data request internal baru terinisialisasi sebagian.
- Dampak: Saat proses pembersihan (request cleanup) berjalan, PHP secara keliru menganggap data yang tidak valid tersebut sebagai data valid, sehingga memicu kerusakan memori (memory corruption) yang dapat dimanfaatkan untuk eksekusi kode acak.
B. RCE via Stale Global State (CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp)
- Mekanisme Kerja: Terjadi ketika state internal milik suatu request tetap bertahan di memori meskipun memori pendukungnya telah dibebaskan (freed).
- Dampak: Request berikutnya yang ditangani oleh worker process yang sama dapat mengakses stale state (data usang/terkontaminasi) tersebut sebelum proses inisialisasi normal memulihkannya.
2. Lingkup Server & Versi PHP yang Terdampak
| Kategori | Detail Dampak & Status Versi |
|---|---|
| Lingkup Layanan | Seluruh instalasi PHP yang melayani web request (PHP-FPM, Apache mod_php, php-cgi, LiteSpeed, FrankenPHP). Risiko tertinggi pada mod_php. |
| PHP 8.5 | Terdampak Perbarui ke 8.5.12 |
| PHP 8.4 | Terdampak Perbarui ke 8.4.27 |
| PHP 8.3 | Terdampak Perbarui ke 8.3.36 |
| PHP 8.2 | Terdampak Perbarui ke 8.2.35 (Dukungan resmi berakhir 31 Desember 2026) |
| PHP < 8.1 | End of Life (EOL) Tidak menerima patch resmi. Minimal source-backports terbatas tersedia khusus kompilasi source code. |
3. Langkah Penanganan Berdasarkan Jenis Layanan Anda di PT Bonet Utama
Untuk memastikan keamanan infrastruktur dan kelangsungan operasional bisnis Anda, berikut adalah tindak lanjut penanganan sesuai jenis layanan yang Anda gunakan di PT Bonet Utama:
1. Pelanggan Shared Web Hosting & cPanel
Proses patching dan pembaruan sistem dilakukan secara otomatis oleh Tim Network & Server Administrator PT Bonet Utama:
- Jadwal Pemeliharaan: Pembaruan diterapkan secara bertahap pada seluruh server hosting Bonet.
- Dampak Layanan: Tidak ada downtime total. Hanya terdapat jeda singkat (beberapa detik) saat layanan PHP dimuat ulang (reload).
- Rekomendasi Pelanggan: Silakan periksa versi PHP website Anda melalui cPanel (Select PHP Version). Jika akun Anda masih menggunakan PHP 8.1 atau versi yang lebih lama, kami sangat menyarankan untuk meningkatkan versi PHP setelah memastikan kompatibilitas CMS, plugin, atau kode aplikasi Anda.
2. Pelanggan Colocation & Dedicated Server
Pengelolaan konfigurasi server berada di bawah wewenang tim IT / Developer perusahaan Anda. Kami mengimbau langkah-langkah penanganan berikut:
- Cek Versi PHP: Jalankan perintah php -v pada terminal server Anda.
- Lakukan Update: Segera perbarui paket PHP ke versi perbaikan terbaru sesuai distribusi OS atau control panel yang Anda gunakan, lalu restart layanan PHP-FPM / Web Server.
- Rencana Migrasi: Segera susun rencana migrasi apabila server masih menggunakan versi PHP 8.1 ke bawah.
4. Mitigasi Darurat (Apabila Belum Dapat Melakukan Update Segera)
Jika server Anda belum dapat diperbarui ke versi PHP aman secara langsung, langkah-langkah berikut dapat meminimalisir risiko keterpaparan serangan (namun tidak menggantikan update permanen):
- Mitigasi CVE-2026-109618 (OOM Corruption):
- Set memory_limit = -1 pada level FPM pool (php_admin_value) atau konfigurasi Apache agar tidak dapat di-override oleh aplikasi.
- Batasi ukuran request POST: set post_max_size = 8M (atau 32M jika memerlukan fitur upload berkas) dan jaga agar upload_max_filesize selalu di bawah post_max_size.
- Batasi cgroup / container limit sebagai batas ketersediaan memori.
- Mitigasi CVE-2026-109619 (Stale Global State):
- Matikan upload progress session: set session.upload_progress.enabled = 0 pada php.ini atau FPM pool, lalu restart seluruh worker.
- Pada PHP 8.5, matikan fatal error backtraces: set fatal_error_backtraces = 0.
- Bersihkan opsi konfigurasi usang/invalid yang memicu diagnostic message sebelum proses inisialisasi request.
Referensi Dokumen Resmi
Keamanan infrastruktur IT dan kelangsungan operasional bisnis Anda adalah komitmen utama kami. Apabila Anda membutuhkan konsultasi teknis atau bantuan proses pembaruan, tim Support PT Bonet Utama siap membantu Anda 24/7 melalui kontak layanan teknis kami.
Hubungi kami untuk konsultasi teknis:
📞 CS: (0251) 8337555
📱 MARKETING: 0851-1140-8035