Jika Anda sudah memperbarui situs perusahaan ke PHP 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 setelah celah PHP2Shell, langkah Anda sudah benar, tetapi belum mencakup semuanya. Pada 23 Oktober 2026, proyek PHP menerbitkan peringatan baru tentang celah ketiga, CVE-2026-115560, yang tidak diperbaiki oleh update 21 Oktober. Celah ini membutuhkan konfigurasi yang tidak lazim dan PHP menilainya sebagai jalur serangan yang kecil kemungkinannya, tetapi solusi sementaranya sederhana: minta tim atau penyedia hosting Anda hari ini untuk mengatur session.upload_progress.enabled ke 0 dan memulai ulang PHP, lalu konfirmasikan secara tertulis bahwa update 21 Oktober benar-benar sudah diterapkan.

Apa yang diumumkan PHP pada 23 Oktober?

Dua hari setelah rilis darurat, proyek ini menerbitkan peringatan informasi singkat tentang pelacakan «progres unggahan» pada sesi, yaitu fitur yang menunjukkan kepada pengguna seberapa jauh unggahan file besar sudah berjalan. Menurut peringatan itu, fitur ini dapat membuka jalur eksekusi kode jarak jauh dalam satu kasus tertentu, dan perbaikannya akan hadir pada rilis reguler berikutnya, bukan sebagai update darurat, bersama advisori lengkap tentang celah tersebut.

Bagi pemilik bisnis, ada dua hal penting. Pertama, ini celah yang terpisah, jadi menjalankan salah satu dari empat versi di atas saja belum cukup. Kedua, langkah sementara yang sama sudah tercantum dalam advisori untuk CVE-2026-109619 pada 21 Oktober. Jika tim Anda sudah menerapkannya saat itu, tidak ada yang perlu dilakukan lagi: biarkan tetap aktif.

Apakah situs Anda terdampak?

Menurut peringatan PHP, masalah ini hanya muncul jika tiga syarat terpenuhi sekaligus:

  • Konfigurasi PHP mengatur session.serialize_handler ke php_binary atau php_serialize.
  • Kode aplikasi mengubahnya ke php saat runtime dengan ini_set() sebelum sesi dimulai.
  • Pelacakan progres unggahan sesi masih aktif, seperti pengaturan bawaannya.

Sebagian besar situs tidak melakukan ini. Masalahnya, pemilik jarang tahu apa yang dilakukan setiap baris dalam sistem yang dibangun bertahun-tahun lalu atau dalam plugin lama. Karena itu pilihan paling aman adalah: jika situs Anda tidak menampilkan bilah progres saat mengunggah file, mematikan fitur ini tidak merusak apa pun dan menutup pintunya. Jika situs bergantung padanya, tanyakan kepada pengembang apakah kode mengubah pengaturan itu saat runtime.

Tiga hari kemudian: pastikan update 21 Oktober benar-benar terpasang

Celah aslinya, CVE-2026-109618 dan CVE-2026-109619, masih menjadi risiko yang lebih besar. Otoritas Keamanan Siber Nasional Arab Saudi (NCA) mengeluarkan peringatan nomor 2026-7949 tentang keduanya, dan badan AS CISA menyarankan untuk mendata semua sistem PHP, menambal lebih dulu yang terhubung ke internet, dan mematikan sistem yang tidak bisa segera ditambal. CISA menyatakan belum melihat eksploitasi yang berhasil saat publikasi, tetapi itu tidak berarti waktu berpihak pada Anda.

Tiga hal yang sering terlewat:

  • Mulai ulang, bukan muat ulang. Buletin Red Hat menyebutkan bahwa perubahan konfigurasi memerlukan proses PHP dimulai ulang, dan muat ulang saja tidak cukup.
  • Nomor versi bisa berbeda di server Linux. Pengumuman PHP menyebutkan bahwa distribusi Linux menerima patch lebih awal, jadi Anda mungkin melihat nomor yang berbeda dari 8.5.12, misalnya, meskipun perbaikannya sudah terpasang. Mintalah konfirmasi tertulis dari penyedia hosting, bukan hanya nomor. Red Hat mencatat bahwa RHEL 8, 9 dan 10 semuanya terdampak.
  • Cara PHP dijalankan mengubah tingkat risiko. Proyek PHP menilai risiko tertinggi ada pada mod_php di Apache, sementara Red Hat mengatakan eksploitasi lebih sulit dalam praktik dengan PHP-FPM bawaan. Lebih sulit bukan berarti mustahil, jadi update tetap diperlukan di kedua kondisi.

5 pertanyaan untuk dikirim hari ini ke penyedia hosting atau tim Anda

  1. Versi PHP apa yang berjalan di setiap situs dan sistem kami, dan apakah sudah mencakup perbaikan 21 Oktober 2026?
  2. Apakah proses PHP sudah dimulai ulang setelah update, bukan sekadar dimuat ulang?
  3. Apakah kita sudah mengatur session.upload_progress.enabled ke 0? Jika belum, apakah kita benar-benar membutuhkan fitur itu?
  4. Apakah kode situs kita mengubah session.serialize_handler saat runtime?
  5. Apakah ada situs kita yang masih di 8.1 atau lebih lama? Cabang itu sudah tidak didukung, dan tabel versi yang didukung menunjukkan dukungan keamanan untuk 8.2 berakhir pada 31 Desember 2026.

Pandangan Origami

Tiga peringatan dalam tiga hari adalah hal biasa setelah celah besar: ketika peneliti menggali satu bagian bahasa pemrograman, mereka juga menemukan apa yang ada di sebelahnya. Namun ini juga menunjukkan sesuatu tentang perusahaan. Siapa pun yang menambal pada tanggal 21 lalu menutup urusannya akan melewatkan peringatan tanggal 23. Keamanan di sini adalah pemantauan berkelanjutan, bukan tugas yang selesai sekali jalan.

Yang kami lihat di perusahaan Arab Saudi, pertanyaan sulitnya bukan «apa celahnya?», melainkan «siapa di pihak kita yang membaca peringatan PHP pada Jumat pagi dan tahu server mana yang milik kita?». Di Origami, kami membangun situs web dan sistem serta memantau update-nya sejak hari pertama. Jika Anda ingin situs Anda diperiksa, atau pengaturan ini diterapkan tanpa gangguan layanan, hubungi kami.

Kesimpulan

Update 21 Oktober wajib dan tetap yang paling penting; peringatan baru tidak mengubah hal itu. Tambahkan satu langkah murah hari ini: matikan pelacakan progres unggahan jika tidak Anda perlukan, mulai ulang PHP, dan dapatkan konfirmasi tertulis dari penyedia hosting. Setelah itu, pantau rilis reguler PHP berikutnya yang akan membawa perbaikan final untuk CVE-2026-115560.

Sumber