Hari ini, proyek PHP merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Rilis ini memperbaiki dua kerentanan kritis yang, dalam kondisi tertentu, memungkinkan penyerang tanpa autentikasi mengeksekusi kode pada server yang menjalankan PHP. Siapa pun yang menjalankan PHP dianjurkan untuk segera memperbarui. Pengumuman resmi di php.net berisi detail teknis dan petunjuk pembaruan.
Celah pertama, CVE-2026-109618, berkaitan dengan kondisi kehabisan memori (OOM). Jika sebuah permintaan mencapai memory_limit PHP tepat pada waktu yang salah, PHP dapat meninggalkan data internal yang belum sepenuhnya diinisialisasi, yang kemudian diperlakukan sebagai valid sehingga merusak memori. Pada Apache dengan mod_php, permintaan tanpa autentikasi dapat memicu hal ini sebelum kode aplikasi apa pun dijalankan, dan eksekusi kode jarak jauh penuh telah didemonstrasikan dengan pengaturan default. Kedua, CVE-2026-109619, adalah masalah status usang: galat fatal dapat membuat status internal menunjuk ke memori dari permintaan sebelumnya, memungkinkan use-after-free yang telah didemonstrasikan terhadap aplikasi dunia nyata.
Kedua masalah berada di area inti PHP yang hampir setiap permintaan lewati: manajemen memori dan penanganan galat. Peran sentral itulah yang membuatnya serius sekaligus sulit diperbaiki tanpa merusak kompatibilitas, menurunkan performa, atau memaksa perubahan pada ekosistem ekstensi pihak ketiga yang besar.
Masalah OOM pertama kali ditemukan selama audit keamanan eksternal pada 2024, yang didanai PHP Foundation dan dilakukan oleh Quarkslab. Perbaikannya tertunda berbulan-bulan saat tim keamanan menimbang pendekatan yang saling bersaing, masing-masing dengan kompromi tersendiri. Tim mengakui bahwa penundaan tersebut merupakan kegagalan struktural, dan sedang mengubah proses pengambilan keputusannya, termasuk pemungutan suara mayoritas. Pada Mei 2026, PHP Foundation juga membentuk Ecosystem Security Team untuk mendukung triase, koordinasi, dan penguatan keamanan.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing