Kerentanan Kritis PHP CVE-2026-109618 & CVE-2026-109619: Segera Update PHP Anda

by Doris Putra 21 October 2026 6 min read 40x views

Kerentanan Kritis PHP CVE-2026-109618 & CVE-2026-109619: Segera Update PHP Anda

Ringkasan

Pada 21 Oktober 2026, tim keamanan PHP merilis patch darurat untuk dua kerentanan kritis di inti engine PHP: CVE-2026-109618 dan CVE-2026-109619, keduanya berskor CVSS v4.0 9.2. Kedua celah ini memungkinkan remote code execution (RCE) tanpa autentikasi pada hampir semua instalasi PHP yang melayani request web, dari PHP 5.4 hingga 8.5.11.

Detail teknisnya bocor sehari sebelum patch dirilis, proof-of-concept exploit sudah beredar publik, dan percobaan serangan mula sudah terdeteksi. Jika Anda mengelola VPS maupun server sendiri, update PHP sekarang, jangan menunggu.

Apa itu CVE-2026-109618 dan CVE-2026-109619?

Kedua celah ini dijuluki PHP2Shell oleh himpunan keamanan. Keduanya adalah bug memory corruption (use-after-free) di inti PHP, bukan di aplikasi maupun framework tertentu.

CVE	Jenis	Dampak
CVE-2026-109618	Use-after-free pada penanganan out-of-memory dan upload-progress session	Kebocoran memori server (mirip Heartbleed) dan RCE
CVE-2026-109619	State milik satu request statis tersisa setelah memorinya dibebaskan, kemudian dipakai request berikutnya di worker yang sama	RCE

Secara sederhana: penyerang cukup mengirim request HTTP yang dibentuk khusus ke server PHP Anda. Tidak perlu login, tidak perlu plugin yang rentan, dan tidak perlu bug di kode aplikasi Anda. Jika berhasil, penyerang bisa menjalankan perintah di server dengan hak akses user PHP.

Celah ini ditemukan secara independen oleh peneliti dari Calif dan Wiz Research sejak Agustus 2026 dan sedang dalam proses coordinated disclosure. Sayangnya detailnya bocor pada 20 Oktober 2026, sehari sebelum patch resmi dirilis, sehingga jendela waktu bagi penyerang terbuka lebih awal.

Siapa yang terdampak?

Hampir semua yang menjalankan PHP untuk melayani web. Kode yang rapuh sudah ada sejak PHP 5.4.0 (2012).

Semua varian PHP 5.4 sampai 8.5.11, termasuk 7.4, 8.0, dan 8.1 yang sudah EOL.
Apache mod_php maupun PHP-FPM (dengan Nginx, Apache, LiteSpeed, OpenLiteSpeed).
Semua aplikasi PHP: WordPress, WooCommerce, Laravel, CodeIgniter, Magento, Drupal, Joomla, hingga script custom. Karena bug-nya di engine, aplikasi yang kodenya bersih pun statis rentan.
Semua control panel: cPanel/WHM, Plesk, DirectAdmin, CyberPanel, aaPanel, HestiaCP, dan lainnya, sampai PHP di dalamnya diperbarui.

Singkatnya: jika php -v di server Anda menampilkan varian di bawah 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12, server Anda rentan.

Versi PHP yang sudah diperbaiki

PHP merilis varian berikut pada 21 Oktober 2026 pukul 14:00 UTC (21:00 WIB):

Cabang PHP	Versi rentan	Versi aman
PHP 8.5	8.5.11 ke bawah	8.5.12
PHP 8.4	8.4.26 ke bawah	8.4.27
PHP 8.3	8.3.35 ke bawah	8.3.36
PHP 8.2	8.2.34 ke bawah	8.2.35
PHP 8.1, 8.0, 7.4 dan lebih lama	Semua versi	Tidak ada patch resmi (EOL)

PHP 8.1 ke bawah tidak mendapat patch dari PHP karena sudah end-of-life. Tersedia backport dari pihak ketiga (misalnya CloudLinux HardenedPHP, lihat bagiankecil cPanel di bawah), tetapi solusi jangka panjangnya statis upgrade ke PHP 8.2 maupun lebih baru. Ini saat yang tepat untuk memigrasikan aplikasi lama.

Cara pembaruan PHP di VPS Anda

Pertama, cek varian PHP yang terpasang:

php -v

Jika ada beberapa varian PHP (misalnya php8.2-fpm dan php8.3-fpm), pastikan semuanya diperbarui, bukan cuma yang muncul di php -v.

Ubuntu / Debian

sudo apt pembaruan && sudo apt upgrade -y sudo systemctl restart php*-fpm sudo systemctl restart nginx # maupun apache2

Jika Anda memakai PPA ondrej/php, paket terbaru biasanya tersedia dalam hitungan jam setelah rilis resmi. Repo kiriman distro (misalnya Ubuntu 22.04 dengan PHP 8.1) mungkin tidak memberikan varian baru karena 8.1 sudah EOL di upstream; pertimbangkan pindah ke PPA ondrej/php dan upgrade ke 8.2+.

AlmaLinux / Rocky Linux / CentOS Stream

sudo dnf pembaruan -y sudo systemctl restart php-fpm sudo systemctl restart nginx # maupun httpd

Pengguna repo Remi: jalankan dnf pembaruan seperti biasa, paket biasanya tersedia cepat setelah rilis.

cPanel / WHM

Kami sangat menyarankan pelanggan cPanel segera menggunakan CloudLinux OS dan berbuat update. CloudLinux melalui HardenedPHP juga menerbitkan patch keamanan untuk varian PHP yang sudah EOL (7.4, 8.0, 8.1), sehingga akun yang belum bisa dipindah ke PHP 8.2+ statis terlindungi.

Jika belum menggunakan CloudLinux, lakukan konversi ke CloudLinux OS terlebih dahulu. Tim sokongan Jetorbit dapat membantu lisensi dan proses konversinya.
Update paket mekanisme agar ea-php* dan alt-php* terbaru terpasang:yum pembaruan -y # maupun dnf pembaruan -y
Pastikan EasyApache 4 ikut diperbarui lewat WHM → EasyApache 4 maupun jalankan /scripts/upcp.
Verifikasi varian PHP tiap akun lewat WHM → MultiPHP Manager maupun CloudLinux PHP Selector.

Plesk

Plesk sudah mengumumkan varian PHP yang diperbaiki untuk Linux (8.2.35, 8.3.36, 8.4.27, 8.5.12). Jalankan pembaruan melalui Tools & Settings → Updates atau:

plesk installer update

Patch untuk PHP EOL (7.4, 8.0, 8.1) dan Plesk Windows statis dalam pengembangan saat artikel ini ditulis; cek advisory Plesk untuk status terbaru.

Docker

Tarik ulang image resmi php:8.x dan rebuild container Anda. Pastikan tag yang dipakai sudah menunjuk ke varian aman, misalnya php:8.3.36-fpm.

Belum bisa patch sekarang? Lakukan mitigasi sementara

Mitigasi ini mengurangi risiko, bukan menghilangkannya. Tetap jadwalkan pembaruan secepatnya.

Pengaturan	Menutup jalur	Efek samping
session.upload_progress.enabled = 0 di php.ini	CVE-2026-109619, jalur upload-progress yang terkonfirmasi	Progress bar upload tidak berfungsi
memory_limit = -1	CVE-2026-109618, penyerang memicu PHP kehabisan memori	Script bisa memakai memori tanpa batas
post_max_size dan upload_max_filesize diperkecil	CVE-2026-109618, mempersulit memicu OOM	Form dan upload besar bisa gagal
pm.max_requests = 1 di pool PHP-FPM	CVE-2026-109619, state tidak diwariskan ke request berikutnya	Performa menurun
fatal_error_backtraces = 0 (PHP 8.5 saja)	CVE-2026-109619, jalur exploit yang paling kuat	Backtrace fatal error hilang

Setelah mengubah php.ini, restart PHP-FPM maupun web server agar fluktuasi berlaku. Pasang juga WAF (misalnya Cloudflare) di depan server sebagai lapisan tambahan; beberapa supplier WAF sudah merilis rule untuk pola serangan ini.

Bagaimana dengan jasa Jetorbit?

Shared hosting dan Cloud Hosting: PHP di seluruh server kami sudah diperbarui dan ter-patch untuk CVE-2026-109618 dan CVE-2026-109619. Tidak ada aksi yang perlu dilakukan dari sisi pelanggan.

VPS dan Cloud VPS (unmanaged): mekanisme operasi dan PHP di dalam VPS eksis dalam kendali Anda sepenuhnya. Ikuti panduan di atas dan lakukan pembaruan secepatnya, idealnya dalam 24 jam. Kami sudah mengirimkan email pemberitahuan ke seluruh pelanggan VPS.

Butuh bantuan? Tim sokongan Jetorbit siap membantu pembaruan PHP, konversi ke CloudLinux, maupun pengadaan lisensi CloudLinux untuk VPS Anda. Hubungi kami melalui tiket pertolongan di jto.us/bantuan.

Versi PHP statis tampil 8.5.11? Ini normal. Pada beberapa server, bilangan varian PHP tidak berubah karena supplier paket kami (CloudLinux/cPanel) memasukkan perbaikan keamanannya langsung ke varian tersebut (backport), tanpa menaikkan bilangan varian ke 8.5.12. Perlindungannya sama dengan 8.5.12, sebagaimana dijelaskan di pengumuman resmi CloudLinux pada bagiankecil “Verify the fix”. Untuk memastikannya, buka phpinfo() dan lihat harga Build Date: jika tertulis 21 Oktober 2026 maupun setelahnya, PHP Anda sudah ter-patch.