Celah PHP Baru Ditemukan, Pengembang Minta Pengguna Ubah Pengaturan Ini

Liputan6.com, Jakarta - Peneliti keamanan menemukan kerentanan baru pada PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Namun, tim pengembang PHP memutuskan tidak merilis perbaikan darurat untuk temuan terbaru ini.

Dikutip dari The Register, Sabtu (24/10/2026), PHP Foundation telah menetapkan kode identifikasi kerentanan baru tersebut, yakni CVE-2026-115560. Perbaikan lengkap dan laporan keamanannya akan disertakan dalam pembaruan PHP reguler berikutnya.

Berbeda dari dua kerentanan sebelumnya, celah ketiga ini membutuhkan kombinasi konfigurasi dan kode aplikasi yang tidak umum. PHP Foundation menilai persyaratan itu jarang ditemukan dalam penggunaan aplikasi sehari-hari.

Masalah tersebut berkaitan dengan pengaturan pengelolaan sesi PHP. Aplikasi harus menggunakan konfigurasi tertentu, mengubahnya saat program berjalan sebelum sesi dimulai, serta mengaktifkan fitur session upload progress.

Karena persyaratan teknisnya cukup spesifik, tim PHP menilai temuan ini tidak memerlukan perbaikan darurat. Meski demikian, aplikasi dengan konfigurasi rentan tetap berpotensi menjadi sasaran eksploitasi.

Sebagai langkah sementara, pengelola sistem disarankan menonaktifkan fitur session upload progress melalui pengaturan session.upload_progress.enabled=0.

Mitigasi ini bisa diterapkan sambil menunggu pembaruan resmi tersedia.

Di sisi lain, dua kerentanan awal, CVE-2026-109618 dan CVE-2026-109619, telah diperbaiki melalui pembaruan pada 21 Oktober 2026. Keduanya dikategorikan kritis karena berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa autentikasi.

Hingga saat ini, belum ada laporan publik yang mengonfirmasi keberhasilan peretasan akibat dua kerentanan awal itu.

Namun, sejumlah peneliti telah menemukan percobaan eksploitasi serta contoh kode yang dirancang untuk memanfaatkan kelemahan tersebut.

Direktur Teknologi Mandiant, Charles Carmakal, mengingatkan bahwa eksploitasi dalam skala terbatas mungkin sudah terjadi. Ia juga menyoroti beredarnya contoh kode eksploitasi di internet, meskipun tidak semuanya berfungsi.

Peneliti telah memvalidasi beberapa contoh kode yang mampu menjalankan perintah dari jarak jauh pada konfigurasi mod_php tertentu. Namun, contoh yang diuji tidak terbukti berfungsi pada PHP-FPM dalam pengujian yang dilaporkan.

Untuk mengatasi dua kerentanan awal, pengelola sistem disarankan memasang versi PHP yang sudah diperbaiki, yakni PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35.

Instalasi yang masih menggunakan versi lama perlu diperiksa dan diperbarui sesuai dukungan pengembang atau penyedia distribusinya.

Adapun CVE-2026-115560 masih menunggu perbaikan penuh. Pengelola situs perlu menerapkan mitigasi yang direkomendasikan serta memantau pengumuman keamanan PHP berikutnya.

Meski belum ada bukti publik mengenai serangan berhasil secara luas, upaya eksploitasi tetap perlu diwaspadai.