{"id":18232,"date":"2026-10-22T10:29:18","date_gmt":"2026-10-22T03:29:18","guid":{"rendered":"https:\/\/www.jetorbit.com\/blog\/?p=18232"},"modified":"2026-10-22T13:06:30","modified_gmt":"2026-10-22T06:06:30","slug":"kerentanan-kritis-php-cve-2026-109618-cve-2026-109619-segera-update-php-anda","status":"publish","type":"post","link":"https:\/\/www.jetorbit.com\/blog\/kerentanan-kritis-php-cve-2026-109618-cve-2026-109619-segera-update-php-anda\/","title":{"rendered":"Kerentanan Kritis PHP CVE-2026-109618 &amp; CVE-2026-109619: Segera Update PHP Anda"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Ringkasan<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Pada 21 Oktober 2026, tim keamanan PHP merilis patch darurat untuk dua kerentanan kritis di inti engine PHP: <strong>CVE-2026-109618<\/strong> dan <strong>CVE-2026-109619<\/strong>, keduanya berskor <strong>CVSS v4.0 9.2<\/strong>. Kedua celah ini memungkinkan <em>remote code execution<\/em> (RCE) tanpa autentikasi pada hampir semua instalasi PHP yang melayani request web, dari PHP 5.4 hingga 8.5.11.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Detail teknisnya bocor sehari sebelum patch dirilis, proof-of-concept exploit sudah beredar publik, dan percobaan serangan awal sudah terdeteksi. Jika Anda mengelola VPS atau server sendiri, <strong>update PHP sekarang<\/strong>, jangan menunggu.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Apa itu CVE-2026-109618 dan CVE-2026-109619?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Kedua celah ini dijuluki <strong>PHP2Shell<\/strong> oleh komunitas keamanan. Keduanya adalah bug <em>memory corruption<\/em> (use-after-free) di inti PHP, bukan di aplikasi atau framework tertentu.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>CVE<\/th><th>Jenis<\/th><th>Dampak<\/th><\/tr><tr><td><a target=\"_blank\" rel=\"noopener\" href=\"https:\/\/github.com\/advisories\/GHSA-w8hw-w9fx-j79w\">CVE-2026-109618<\/a><\/td><td>Use-after-free pada penanganan <em>out-of-memory<\/em> dan upload-progress session<\/td><td>Kebocoran memori server (mirip Heartbleed) dan RCE<\/td><\/tr><tr><td><a target=\"_blank\" rel=\"noopener\" href=\"https:\/\/github.com\/advisories\/GHSA-6wmf-4rv5-p3rp\">CVE-2026-109619<\/a><\/td><td>State milik satu request tetap tersisa setelah memorinya dibebaskan, lalu dipakai request berikutnya di worker yang sama<\/td><td>RCE<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Secara sederhana: penyerang cukup mengirim request HTTP yang dibentuk khusus ke server PHP Anda. Tidak perlu login, tidak perlu plugin yang rentan, dan tidak perlu bug di kode aplikasi Anda. Jika berhasil, penyerang bisa menjalankan perintah di server dengan hak akses user PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Celah ini ditemukan secara independen oleh peneliti dari Calif dan Wiz Research sejak Agustus 2026 dan sedang dalam proses <em>coordinated disclosure<\/em>. Sayangnya detailnya bocor pada 20 Oktober 2026, sehari sebelum patch resmi dirilis, sehingga jendela waktu bagi penyerang terbuka lebih awal.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Siapa yang terdampak?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hampir semua yang menjalankan PHP untuk melayani web. Kode yang rentan sudah ada sejak PHP 5.4.0 (2012).<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Semua versi PHP 5.4 sampai 8.5.11<\/strong>, termasuk 7.4, 8.0, dan 8.1 yang sudah EOL.<\/li>\n\n\n\n<li><strong>Apache mod_php maupun PHP-FPM<\/strong> (dengan Nginx, Apache, LiteSpeed, OpenLiteSpeed).<\/li>\n\n\n\n<li><strong>Semua aplikasi PHP<\/strong>: WordPress, WooCommerce, Laravel, CodeIgniter, Magento, Drupal, Joomla, hingga script custom. Karena bug-nya di engine, aplikasi yang kodenya bersih pun tetap rentan.<\/li>\n\n\n\n<li><strong>Semua control panel<\/strong>: cPanel\/WHM, Plesk, DirectAdmin, CyberPanel, aaPanel, HestiaCP, dan lainnya, sampai PHP di dalamnya diperbarui.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Singkatnya: jika <code>php -v<\/code> di server Anda menampilkan versi di bawah 8.2.35 \/ 8.3.36 \/ 8.4.27 \/ 8.5.12, server Anda rentan.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Versi PHP yang sudah diperbaiki<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP merilis versi berikut pada 21 Oktober 2026 pukul 14:00 UTC (21:00 WIB):<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Cabang PHP<\/th><th>Versi rentan<\/th><th>Versi aman<\/th><\/tr><tr><td>PHP 8.5<\/td><td>8.5.11 ke bawah<\/td><td><strong>8.5.12<\/strong><\/td><\/tr><tr><td>PHP 8.4<\/td><td>8.4.26 ke bawah<\/td><td><strong>8.4.27<\/strong><\/td><\/tr><tr><td>PHP 8.3<\/td><td>8.3.35 ke bawah<\/td><td><strong>8.3.36<\/strong><\/td><\/tr><tr><td>PHP 8.2<\/td><td>8.2.34 ke bawah<\/td><td><strong>8.2.35<\/strong><\/td><\/tr><tr><td>PHP 8.1, 8.0, 7.4 dan lebih lama<\/td><td>Semua versi<\/td><td>Tidak ada patch resmi (EOL)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP 8.1 ke bawah tidak mendapat patch dari PHP<\/strong> karena sudah <em>end-of-life<\/em>. Tersedia backport dari pihak ketiga (misalnya CloudLinux HardenedPHP, lihat bagian cPanel di bawah), tetapi solusi jangka panjangnya tetap upgrade ke PHP 8.2 atau lebih baru. Ini saat yang tepat untuk memigrasikan aplikasi lama.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Cara update PHP di VPS Anda<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Pertama, cek versi PHP yang terpasang:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>php -v<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Jika ada beberapa versi PHP (misalnya <code>php8.2-fpm<\/code> dan <code>php8.3-fpm<\/code>), pastikan semuanya diperbarui, bukan hanya yang muncul di <code>php -v<\/code>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Ubuntu \/ Debian<\/h3>\n\n\n\n<pre class=\"wp-block-code\"><code>sudo apt update &amp;&amp; sudo apt upgrade -y\nsudo systemctl restart php*-fpm\nsudo systemctl restart nginx   # atau apache2<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Jika Anda memakai PPA ondrej\/php, paket terbaru biasanya tersedia dalam hitungan jam setelah rilis resmi. Repo bawaan distro (misalnya Ubuntu 22.04 dengan PHP 8.1) mungkin tidak memberikan versi baru karena 8.1 sudah EOL di upstream; pertimbangkan pindah ke PPA ondrej\/php dan upgrade ke 8.2+.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">AlmaLinux \/ Rocky Linux \/ CentOS Stream<\/h3>\n\n\n\n<pre class=\"wp-block-code\"><code>sudo dnf update -y\nsudo systemctl restart php-fpm\nsudo systemctl restart nginx   # atau httpd<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Pengguna repo Remi: jalankan <code>dnf update<\/code> seperti biasa, paket biasanya tersedia cepat setelah rilis.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">cPanel \/ WHM<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Kami sangat menyarankan pengguna cPanel <strong>segera menggunakan CloudLinux OS dan melakukan update<\/strong>. CloudLinux melalui HardenedPHP juga menerbitkan patch keamanan untuk versi PHP yang sudah EOL (7.4, 8.0, 8.1), sehingga akun yang belum bisa dipindah ke PHP 8.2+ tetap terlindungi.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Jika belum menggunakan CloudLinux, lakukan konversi ke CloudLinux OS terlebih dahulu. Tim support Jetorbit dapat membantu lisensi dan proses konversinya.<\/li>\n\n\n\n<li>Update paket sistem agar <code>ea-php*<\/code> dan <code>alt-php*<\/code> terbaru terpasang:<code>yum update -y # atau dnf update -y<\/code><\/li>\n\n\n\n<li>Pastikan EasyApache 4 ikut diperbarui lewat <strong>WHM \u2192 EasyApache 4<\/strong> atau jalankan <code>\/scripts\/upcp<\/code>.<\/li>\n\n\n\n<li>Verifikasi versi PHP tiap akun lewat <strong>WHM \u2192 MultiPHP Manager<\/strong> atau <strong>CloudLinux PHP Selector<\/strong>.<\/li>\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">Plesk<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Plesk sudah mengumumkan versi PHP yang diperbaiki untuk Linux (8.2.35, 8.3.36, 8.4.27, 8.5.12). Jalankan update melalui <strong>Tools &amp; Settings \u2192 Updates<\/strong> atau:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>plesk installer update<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Patch untuk PHP EOL (7.4, 8.0, 8.1) dan Plesk Windows masih dalam pengembangan saat artikel ini ditulis; cek <a target=\"_blank\" rel=\"noopener\" href=\"https:\/\/support.plesk.com\/hc\/en-us\/articles\/44397729587351\">advisory Plesk<\/a> untuk status terbaru.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Docker<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Tarik ulang image resmi <code>php:8.x<\/code> dan rebuild container Anda. Pastikan tag yang dipakai sudah menunjuk ke versi aman, misalnya <code>php:8.3.36-fpm<\/code>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Belum bisa patch sekarang? Lakukan mitigasi sementara<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Mitigasi ini <strong>mengurangi<\/strong> risiko, bukan menghilangkannya. Tetap jadwalkan update secepatnya.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Pengaturan<\/th><th>Menutup jalur<\/th><th>Efek samping<\/th><\/tr><tr><td><code>session.upload_progress.enabled = 0<\/code> di php.ini<\/td><td>CVE-2026-109619, jalur upload-progress yang terkonfirmasi<\/td><td>Progress bar upload tidak berfungsi<\/td><\/tr><tr><td><code>memory_limit = -1<\/code><\/td><td>CVE-2026-109618, penyerang memicu PHP kehabisan memori<\/td><td>Script bisa memakai memori tanpa batas<\/td><\/tr><tr><td><code>post_max_size<\/code> dan <code>upload_max_filesize<\/code> diperkecil<\/td><td>CVE-2026-109618, mempersulit memicu OOM<\/td><td>Form dan upload besar bisa gagal<\/td><\/tr><tr><td><code>pm.max_requests = 1<\/code> di pool PHP-FPM<\/td><td>CVE-2026-109619, state tidak diwariskan ke request berikutnya<\/td><td>Performa menurun<\/td><\/tr><tr><td><code>fatal_error_backtraces = 0<\/code> (PHP 8.5 saja)<\/td><td>CVE-2026-109619, jalur exploit yang paling kuat<\/td><td>Backtrace fatal error hilang<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Setelah mengubah php.ini, restart PHP-FPM atau web server agar perubahan berlaku. Pasang juga WAF (misalnya Cloudflare) di depan server sebagai lapisan tambahan; beberapa penyedia WAF sudah merilis rule untuk pola serangan ini.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Bagaimana dengan layanan Jetorbit?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Shared hosting dan Cloud Hosting:<\/strong> PHP di seluruh server kami <strong>sudah diperbarui dan ter-patch<\/strong> untuk CVE-2026-109618 dan CVE-2026-109619. Tidak ada tindakan yang perlu dilakukan dari sisi pelanggan.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>VPS dan Cloud VPS (unmanaged):<\/strong> sistem operasi dan PHP di dalam VPS berada dalam kendali Anda sepenuhnya. Ikuti panduan di atas dan lakukan update <strong>secepatnya, idealnya dalam 24 jam<\/strong>. Kami sudah mengirimkan email pemberitahuan ke seluruh pelanggan VPS.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Butuh bantuan?<\/strong> Tim support Jetorbit siap membantu update PHP, konversi ke CloudLinux, atau pengadaan lisensi CloudLinux untuk VPS Anda. Hubungi kami melalui tiket bantuan di <a target=\"_blank\" rel=\"noopener\" href=\"https:\/\/jto.us\/bantuan\">jto.us\/bantuan<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Versi PHP masih tampil 8.5.11? Ini normal.<\/strong> Pada beberapa server, nomor versi PHP tidak berubah karena penyedia paket kami (CloudLinux\/cPanel) memasukkan perbaikan keamanannya langsung ke versi tersebut (<em>backport<\/em>), tanpa menaikkan nomor versi ke 8.5.12. Perlindungannya sama dengan 8.5.12, sebagaimana dijelaskan di <a target=\"_blank\" rel=\"noopener\" href=\"https:\/\/blog.cloudlinux.com\/php-cve-2026-109618-and-cve-2026-109619\">pengumuman resmi CloudLinux<\/a> pada bagian &#8220;Verify the fix&#8221;. Untuk memastikannya, buka <code>phpinfo()<\/code> dan lihat nilai <strong>Build Date<\/strong>: jika tertulis 21 Oktober 2026 atau setelahnya, PHP Anda sudah ter-patch.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Referensi<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/blog.cloudlinux.com\/php-cve-2026-109618-and-cve-2026-109619#step-3-update-cloudlinux-php-packages\" target=\"_blank\" rel=\"noopener\">https:\/\/blog.cloudlinux.com\/php-cve-2026-109618-and-cve-2026-109619#step-3-update-cloudlinux-php-packages<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.php.net\/\" target=\"_blank\" rel=\"noopener\">PHP News: rilis keamanan 21 Oktober 2026<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/advisories\/GHSA-w8hw-w9fx-j79w\" target=\"_blank\" rel=\"noopener\">GHSA-w8hw-w9fx-j79w (CVE-2026-109618)<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/github.com\/advisories\/GHSA-6wmf-4rv5-p3rp\" target=\"_blank\" rel=\"noopener\">GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/cloud.google.com\/blog\/products\/identity-security\/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619\" target=\"_blank\" rel=\"noopener\">Google Cloud: Responding to core PHP vulnerabilities<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/sansec.io\/research\/php2shell\" target=\"_blank\" rel=\"noopener\">Sansec: PHP2Shell analysis<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/ma.ttias.be\/php-cve-2026-109618-early-mitigation\/\" target=\"_blank\" rel=\"noopener\">ma.ttias.be: early mitigation steps<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/support.plesk.com\/hc\/en-us\/articles\/44397729587351\" target=\"_blank\" rel=\"noopener\">Plesk advisory<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/watchtowr.com\/intelligence\/php-cve-2026-109618-faq\/\" target=\"_blank\" rel=\"noopener\">watchTowr FAQ<\/a><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Artikel ini akan diperbarui jika ada informasi baru dari PHP, CloudLinux, atau cPanel.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ringkasan Pada 21 Oktober 2026, tim keamanan PHP merilis patch darurat untuk dua kerentanan kritis di inti engine PHP: CVE-2026-109618 dan CVE-2026-109619, keduanya berskor CVSS v4.0 9.2. Kedua celah ini memungkinkan remote code execution (RCE) tanpa autentikasi pada hampir semua instalasi PHP yang melayani request web, dari PHP 5.4 hingga 8.5.11. Detail teknisnya bocor sehari &#8230; <a title=\"Kerentanan Kritis PHP CVE-2026-109618 &amp; CVE-2026-109619: Segera Update PHP Anda\" class=\"read-more\" href=\"https:\/\/www.jetorbit.com\/blog\/kerentanan-kritis-php-cve-2026-109618-cve-2026-109619-segera-update-php-anda\/\" aria-label=\"Read more about Kerentanan Kritis PHP CVE-2026-109618 &amp; CVE-2026-109619: Segera Update PHP Anda\">Read more<\/a><\/p>\n","protected":false},"author":1,"featured_media":18234,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"generate_page_header":"","footnotes":""},"categories":[25],"tags":[],"class_list":["post-18232","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-info","infinite-scroll-item","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-33"],"_links":{"self":[{"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/posts\/18232","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/comments?post=18232"}],"version-history":[{"count":2,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/posts\/18232\/revisions"}],"predecessor-version":[{"id":18236,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/posts\/18232\/revisions\/18236"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/media\/18234"}],"wp:attachment":[{"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/media?parent=18232"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/categories?post=18232"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.jetorbit.com\/blog\/wp-json\/wp\/v2\/tags?post=18232"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}