Celah PHP Baru Ditemukan, Pengembang Minta Pengguna Ubah Pengaturan Ini

Peneliti keamanan menemukan kerentanan baru pada PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Seperti dilaporkan Liputan6.com Tech News, tim pengembang PHP memutuskan tidak merilis perbaikan darurat untuk temuan terbaru ini.

Detail Kerentanan Terbaru PHP

PHP Foundation telah menetapkan kode identifikasi kerentanan baru tersebut, yakni CVE-2026-115560, berdasarkan laporan The Register pada Sabtu (24/10/2026). Perbaikan lengkap dan laporan keamanannya akan disertakan dalam pembaruan PHP reguler berikutnya.

Berbeda dari dua kerentanan sebelumnya, celah ketiga ini membutuhkan kombinasi konfigurasi dan kode aplikasi yang tidak umum. PHP Foundation menilai persyaratan itu jarang ditemukan dalam penggunaan aplikasi sehari-hari.

Masalah tersebut berkaitan dengan pengaturan pengelolaan sesi PHP. Aplikasi harus menggunakan konfigurasi tertentu, mengubahnya saat program berjalan sebelum sesi dimulai, serta mengaktifkan fitur session upload progress.

Karena persyaratan teknisnya cukup spesifik, tim PHP menilai temuan ini tidak memerlukan perbaikan darurat. Meski demikian, aplikasi dengan konfigurasi rentan tetap berpotensi menjadi sasaran eksploitasi.

Sebagai langkah sementara, pengelola sistem disarankan menonaktifkan fitur session upload progress melalui pengaturan session.upload_progress.enabled=0. Mitigasi ini bisa diterapkan sambil menunggu pembaruan resmi tersedia.

Status Dua Kerentanan Awal

Di sisi lain, dua kerentanan awal, CVE-2026-109618 dan CVE-2026-109619, telah diperbaiki melalui pembaruan pada 21 Oktober 2026. Keduanya dikategorikan kritis karena berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa autentikasi.

Hingga saat ini, belum ada laporan publik yang mengonfirmasi keberhasilan peretasan akibat dua kerentanan awal itu. Namun, sejumlah peneliti telah menemukan percobaan eksploitasi serta contoh kode yang dirancang untuk memanfaatkan kelemahan tersebut.

Direktur Teknologi Mandiant, Charles Carmakal, mengingatkan bahwa eksploitasi dalam skala terbatas mungkin sudah terjadi. Ia juga menyoroti beredarnya contoh kode eksploitasi di internet, meskipun tidak semuanya berfungsi.

Peneliti telah memvalidasi beberapa contoh kode yang mampu menjalankan perintah dari jarak jauh pada konfigurasi mod_php tertentu. Namun, contoh yang diuji tidak terbukti berfungsi pada PHP-FPM dalam pengujian yang dilaporkan.

Untuk mengatasi dua kerentanan awal, pengelola sistem disarankan memasang versi PHP yang sudah diperbaiki, yakni PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Instalasi yang masih menggunakan versi lama perlu diperiksa dan diperbarui sesuai dukungan pengembang atau penyedia distribusinya.