NSA Peringatkan Dua Kerentanan Kritis di PHP, Sarankan Sistem Offline Jika Belum Bisa Di-patch

National Security Agency (NSA) melalui akun resmi @NSACyber mengeluarkan peringatan mendesak pada Rabu (21/10/2026). Semua organisasi yang menggunakan PHP untuk sistem mereka diimbau segera bersiap melakukan update guna mengatasi dua kerentanan kritis.

Menurut NSA, PHP banyak digunakan untuk aplikasi web. Kerentanan ini sering memberikan jalur langsung ke sistem file server atau database. Jika update segera tidak memungkinkan, NSA merekomendasikan agar sistem diambil offline hingga mitigasi sepenuhnya selesai. NSA menyatakan akan menyusul dengan panduan yang lebih spesifik.

Aspek	Detail
CVE	CVE-2026-109618 dan CVE-2026-109619
Skor CVSS	9.2 (Critical)
Dampak	Unauthenticated Remote Code Execution (RCE)
Versi Terdampak	Hampir semua instalasi PHP web (termasuk versi lama)
Patch Tersedia	PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (dan backport terbatas)

Apa Itu Kerentanan Ini?

Dua kerentanan tersebut dikenal luas dengan sebutan PHP2Shell. Keduanya memungkinkan penyerang menjalankan kode jarak jauh tanpa autentikasi pada server yang menjalankan PHP.

CVE-2026-109618 terkait memory corruption saat kondisi out-of-memory, sedangkan CVE-2026-109619 melibatkan stale global state antar request. Pada beberapa konfigurasi (terutama Apache mod_php), serangan bisa terjadi sebelum kode aplikasi dijalankan sama sekali.

PHP digunakan oleh sekitar 70 persen situs web yang teridentifikasi bahasa pemrograman sisi server-nya, termasuk platform populer seperti WordPress, Drupal, Joomla, Laravel, dan banyak lainnya. Diperkirakan puluhan juta instance yang terpapar di internet.

Tindakan yang Direkomendasikan

1. Segera perbarui PHP ke versi yang sudah diperbaiki (8.5.12, 8.4.27, 8.3.36, atau 8.2.35).

2. Jika update tidak bisa dilakukan segera, pertimbangkan untuk mengambil sistem offline sementara.

3. Pantau log dan aktivitas mencurigakan, karena upaya eksploitasi sudah mulai terdeteksi di sejumlah sensor keamanan.

4. Pastikan juga aplikasi dan framework di atas PHP diperbarui sesuai rekomendasi vendor masing-masing.

Peringatan serupa juga disampaikan oleh CISA dan lembaga keamanan siber lainnya. Beberapa negara dilaporkan mengambil langkah proaktif dengan menonaktifkan situs pemerintah sementara proses patching berlangsung.

Mengapa Ini Penting?

Karena kerentanan berada di level engine PHP, bukan di kode aplikasi, bahkan situs yang sudah diamankan dengan baik di level aplikasi tetap berisiko jika PHP-nya belum di-patch. Skala penggunaan PHP yang sangat luas membuat isu ini termasuk salah satu yang paling berdampak dalam beberapa waktu terakhir.

Keamanan infrastruktur digital, termasuk website dan aplikasi web, menjadi semakin krusial di tengah meningkatnya ancaman siber. Organisasi perlu memiliki proses update dan monitoring yang responsif.

Jika perusahaan Anda membutuhkan bantuan dalam pengamanan sistem, audit keamanan aplikasi, pengembangan software yang lebih aman, atau migrasi ke arsitektur modern, tim Clovertechno siap membantu. Kunjungi clovertechno.id untuk konsultasi jasa pembuatan software dan solusi keamanan digital sesuai kebutuhan bisnis Anda.