Departures
NWSLogbook entry
Proyek PHP merilis pembaruan darurat untuk mengatasi dua kerentanan kritis php2shell bernilai 9,2 sebelum meluas ke jutaan situs web. Hostinger langsung memperketat sistem keamanan server.
JAKARTA, Rabu (21/10/2026) - Proyek pengembang PHP merilis pembaruan darurat untuk menambal dua celah keamanan kritis bersandi CVE-2026-109618 dan CVE-2026-109619 yang dinamai php2shell. Celah ini mendapat nilai keparahan 9,2 dari skala 10 pada Common Vulnerability Scoring System (CVSS).
Pembaruan dikeluarkan setelah rincian teknis dan kode eksploitasi bocor serta beredar bebas di ruang publik sebelum jadwal rilis resmi. Masalah ini berdampak luas karena menyasar hampir semua versi sejak PHP 5.4 hingga sebelum versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
Penyedia layanan komputasi awan Hostinger mengonfirmasi bahwa kedua celah bersumber dari kegagalan PHP dalam mengelola pembersihan memori saat sebuah permintaan mengalami galat. Dalam skenario terburuk, peretas dapat menyisipkan kode berbahaya ke server, membaca data rahasia, atau melumpuhkan situs web secara total.
Kerentanan pertama, CVE-2026-109618, terjadi ketika beban permintaan mendorong penggunaan memori PHP melampaui batas secara mendadak. Kondisi tersebut membuat proses terhenti di tengah jalan dan menyisakan data yang belum selesai diproses, lalu PHP memperlakukannya seolah-olah data itu utuh.
Kerentanan kedua, CVE-2026-109619, dipicu oleh interupsi galat yang menyebabkan PHP tetap menahan alokasi memori yang seharusnya sudah dilepas. Permintaan berikutnya yang diproses oleh pekerja yang sama dapat mengakses sisa memori tersebut.
Kerusakan tersebut menjangkau ekosistem besar pengelola konten seperti WordPress, WooCommerce, dan Magento. Pengelola platform menegaskan pembaruan pada tema atau pengaya WordPress tidak dapat menambal celah karena cacat logika berada langsung di tingkat mesin bahasa pemrograman PHP.
Chief Product Officer Hostinger Saulius L. bersama Spesialis Komunikasi Hostinger Gediminas G. menyatakan perusahaan telah memblokir serangan secara dini di seluruh peladen terkelola. Penyedia layanan web tersebut memasang aturan baru pada ModSecurity dengan mode tolak seketika untuk membendung lalu lintas berbahaya.
"Aturan firewall adalah jaring pengaman. Aturan itu menghentikan serangan yang sudah kita ketahui, tetapi penyerang terus memodifikasi permintaan mereka agar bisa lolos. Pembaruan PHP memperbaiki bug yang sebenarnya," ujar pihak Hostinger dalam pernyataan resminya.
Ancaman terhadap sistem perangkat lunak peladen kerap membutuhkan penanganan ganda pada lapisan konfigurasi seperti halnya penanganan mitigasi kerentanan sistem kernel. Selain memperbarui versi peranti lunak, Hostinger menonaktifkan fitur bawaan session.upload_progress pada konfigurasi LiteSpeed, PHP Selector, cPanel PHP-FPM, dan phpMyAdmin untuk memutus jalur serangan.
Pada Jumat (23/10/2026) pukul 13.25 UTC, proyek PHP kembali mengumumkan temuan celah ketiga berkode CVE-2026-115560. Hostinger menyatakan seluruh paket hosting terkelola miliknya telah terlindungi sepenuhnya sejak Rabu (21/10/2026) berkat penyesuaian aturan firewall dan penonaktifan fitur pelacak unggahan.
Pengguna peladen privat virtual atau virtual private server (VPS) diminta memperbarui instalasi mandiri mereka ke versi PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Pengelola VPS yang belum bisa melakukan pembaruan penuh diinstruksikan menonaktifkan setelan session.upload_progress.enabled di berkas php.ini serta memuat ulang seluruh pekerja PHP-FPM.
You must be logged in to comment
No comments yet. Be the first to comment!
Written by
Liu PurnomoI'm a Software Engineer who turns coffee into code, and sometimes I even make interactive web things that work! ☕💻 I'm also a certified multitasker: an Expert Drone Pilot (ask me for aerial selfies!), a Certified Instructor/Public Speaker (I talk a lot), and a Seasonal Runner who believes in running only when the weather is perfect. Let's connect!
More articles headed the same way as this one.
