Kerentanan Kritis PHP CVE-2026-109618 & CVE-2026-109619: Segera Update PHP Anda

Ringkasan

Pada 21 Oktober 2026, tim keamanan PHP merilis patch darurat untuk dua kerentanan kritis di inti engine PHP: CVE-2026-109618 dan CVE-2026-109619, keduanya berskor CVSS v4.0 9.2. Kedua celah ini memungkinkan remote code execution (RCE) tanpa autentikasi pada hampir semua instalasi PHP yang melayani request web, dari PHP 5.4 hingga 8.5.11.

Detail teknisnya bocor sehari sebelum patch dirilis, proof-of-concept exploit sudah beredar publik, dan percobaan serangan awal sudah terdeteksi. Jika Anda mengelola VPS atau server sendiri, update PHP sekarang, jangan menunggu.

Apa itu CVE-2026-109618 dan CVE-2026-109619?

Kedua celah ini dijuluki PHP2Shell oleh komunitas keamanan. Keduanya adalah bug memory corruption (use-after-free) di inti PHP, bukan di aplikasi atau framework tertentu.

CVE	Jenis	Dampak
CVE-2026-109618	Use-after-free pada penanganan out-of-memory dan upload-progress session	Kebocoran memori server (mirip Heartbleed) dan RCE
CVE-2026-109619	State milik satu request tetap tersisa setelah memorinya dibebaskan, lalu dipakai request berikutnya di worker yang sama	RCE

Secara sederhana: penyerang cukup mengirim request HTTP yang dibentuk khusus ke server PHP Anda. Tidak perlu login, tidak perlu plugin yang rentan, dan tidak perlu bug di kode aplikasi Anda. Jika berhasil, penyerang bisa menjalankan perintah di server dengan hak akses user PHP.

Celah ini ditemukan secara independen oleh peneliti dari Calif dan Wiz Research sejak Agustus 2026 dan sedang dalam proses coordinated disclosure. Sayangnya detailnya bocor pada 20 Oktober 2026, sehari sebelum patch resmi dirilis, sehingga jendela waktu bagi penyerang terbuka lebih awal.

Siapa yang terdampak?

Hampir semua yang menjalankan PHP untuk melayani web. Kode yang rentan sudah ada sejak PHP 5.4.0 (2012).

• Semua versi PHP 5.4 sampai 8.5.11, termasuk 7.4, 8.0, dan 8.1 yang sudah EOL.
• Apache mod_php maupun PHP-FPM (dengan Nginx, Apache, LiteSpeed, OpenLiteSpeed).
• Semua aplikasi PHP: WordPress, WooCommerce, Laravel, CodeIgniter, Magento, Drupal, Joomla, hingga script custom. Karena bug-nya di engine, aplikasi yang kodenya bersih pun tetap rentan.
• Semua control panel: cPanel/WHM, Plesk, DirectAdmin, CyberPanel, aaPanel, HestiaCP, dan lainnya, sampai PHP di dalamnya diperbarui.

Singkatnya: jika php -v di server Anda menampilkan versi di bawah 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12, server Anda rentan.

Versi PHP yang sudah diperbaiki

PHP merilis versi berikut pada 21 Oktober 2026 pukul 14:00 UTC (21:00 WIB):

Cabang PHP	Versi rentan	Versi aman
PHP 8.5	8.5.11 ke bawah	8.5.12
PHP 8.4	8.4.26 ke bawah	8.4.27
PHP 8.3	8.3.35 ke bawah	8.3.36
PHP 8.2	8.2.34 ke bawah	8.2.35
PHP 8.1, 8.0, 7.4 dan lebih lama	Semua versi	Tidak ada patch resmi (EOL)

PHP 8.1 ke bawah tidak mendapat patch dari PHP karena sudah end-of-life. Tersedia backport dari pihak ketiga (misalnya CloudLinux HardenedPHP, lihat bagian cPanel di bawah), tetapi solusi jangka panjangnya tetap upgrade ke PHP 8.2 atau lebih baru. Ini saat yang tepat untuk memigrasikan aplikasi lama.

Cara update PHP di VPS Anda

Pertama, cek versi PHP yang terpasang:

php -v

Jika ada beberapa versi PHP (misalnya php8.2-fpm dan php8.3-fpm), pastikan semuanya diperbarui, bukan hanya yang muncul di php -v.

Ubuntu / Debian

sudo apt update && sudo apt upgrade -y
sudo systemctl restart php*-fpm
sudo systemctl restart nginx   # atau apache2

Jika Anda memakai PPA ondrej/php, paket terbaru biasanya tersedia dalam hitungan jam setelah rilis resmi. Repo bawaan distro (misalnya Ubuntu 22.04 dengan PHP 8.1) mungkin tidak memberikan versi baru karena 8.1 sudah EOL di upstream; pertimbangkan pindah ke PPA ondrej/php dan upgrade ke 8.2+.

AlmaLinux / Rocky Linux / CentOS Stream

sudo dnf update -y
sudo systemctl restart php-fpm
sudo systemctl restart nginx   # atau httpd

Pengguna repo Remi: jalankan dnf update seperti biasa, paket biasanya tersedia cepat setelah rilis.

cPanel / WHM

Kami sangat menyarankan pengguna cPanel segera menggunakan CloudLinux OS dan melakukan update. CloudLinux melalui HardenedPHP juga menerbitkan patch keamanan untuk versi PHP yang sudah EOL (7.4, 8.0, 8.1), sehingga akun yang belum bisa dipindah ke PHP 8.2+ tetap terlindungi.

1. Jika belum menggunakan CloudLinux, lakukan konversi ke CloudLinux OS terlebih dahulu. Tim support Jetorbit dapat membantu lisensi dan proses konversinya.
2. Update paket sistem agar ea-php* dan alt-php* terbaru terpasang:yum update -y # atau dnf update -y
3. Pastikan EasyApache 4 ikut diperbarui lewat WHM → EasyApache 4 atau jalankan /scripts/upcp.
4. Verifikasi versi PHP tiap akun lewat WHM → MultiPHP Manager atau CloudLinux PHP Selector.

Plesk

Plesk sudah mengumumkan versi PHP yang diperbaiki untuk Linux (8.2.35, 8.3.36, 8.4.27, 8.5.12). Jalankan update melalui Tools & Settings → Updates atau:

plesk installer update

Patch untuk PHP EOL (7.4, 8.0, 8.1) dan Plesk Windows masih dalam pengembangan saat artikel ini ditulis; cek advisory Plesk untuk status terbaru.

Docker

Tarik ulang image resmi php:8.x dan rebuild container Anda. Pastikan tag yang dipakai sudah menunjuk ke versi aman, misalnya php:8.3.36-fpm.

Belum bisa patch sekarang? Lakukan mitigasi sementara

Mitigasi ini mengurangi risiko, bukan menghilangkannya. Tetap jadwalkan update secepatnya.

Pengaturan	Menutup jalur	Efek samping
session.upload_progress.enabled = 0 di php.ini	CVE-2026-109619, jalur upload-progress yang terkonfirmasi	Progress bar upload tidak berfungsi
memory_limit = -1	CVE-2026-109618, penyerang memicu PHP kehabisan memori	Script bisa memakai memori tanpa batas
post_max_size dan upload_max_filesize diperkecil	CVE-2026-109618, mempersulit memicu OOM	Form dan upload besar bisa gagal
pm.max_requests = 1 di pool PHP-FPM	CVE-2026-109619, state tidak diwariskan ke request berikutnya	Performa menurun
fatal_error_backtraces = 0 (PHP 8.5 saja)	CVE-2026-109619, jalur exploit yang paling kuat	Backtrace fatal error hilang

Setelah mengubah php.ini, restart PHP-FPM atau web server agar perubahan berlaku. Pasang juga WAF (misalnya Cloudflare) di depan server sebagai lapisan tambahan; beberapa penyedia WAF sudah merilis rule untuk pola serangan ini.

Bagaimana dengan layanan Jetorbit?

Shared hosting dan Cloud Hosting: server kami menggunakan CloudLinux dan tim kami telah melakukan patch PHP di seluruh server begitu paket tersedia. Pelanggan tidak perlu melakukan tindakan apa pun; kami akan memperbarui artikel ini jika ada perkembangan.

VPS dan Cloud VPS (unmanaged): sistem operasi dan PHP di dalam VPS berada dalam kendali Anda sepenuhnya. Ikuti panduan di atas dan lakukan update secepatnya, idealnya dalam 24 jam. Kami sudah mengirimkan email pemberitahuan ke seluruh pelanggan VPS.

Butuh bantuan? Tim support Jetorbit siap membantu update PHP, konversi ke CloudLinux, atau pengadaan lisensi CloudLinux untuk VPS Anda. Hubungi kami melalui tiket di area member atau live chat di jetorbit.com.

Referensi

• PHP News: rilis keamanan 21 Oktober 2026
• GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• Google Cloud: Responding to core PHP vulnerabilities
• Sansec: PHP2Shell analysis
• ma.ttias.be: early mitigation steps
• Plesk advisory
• watchTowr FAQ

Artikel ini akan diperbarui jika ada informasi baru dari PHP, CloudLinux, atau cPanel.