Peringatan Darurat Keamanan Siber Global
Lembaga keamanan siber internasional termasuk Cybersecurity and Infrastructure Security Agency (CISA), National Cyber Security Centre (NCSC) Inggris, dan CERT-EU secara serentak menerbitkan peringatan keamanan darurat terkait temuan dua kerentanan tingkat kritis (CVSS Score 9.2) pada bahasa pemrograman PHP.
Kerentanan yang dijuluki oleh komunitas peneliti keamanan sebagai "php2shell" ini berpotensi mengekspos jutaan peladen web dan aplikasi komputasi awan di seluruh dunia ke risiko eksekusi kode jarak jauh tanpa autentikasi (unauthenticated Remote Code Execution / RCE).
1. Anatomi Kerentanan: CVE-2026-109618 dan CVE-2026-109619
Eksploitasi ini memanfaatkan celah pada alokasi memori internal mesin runtime PHP saat memproses permintaan HTTP dengan batas memori tertentu:
- CVE-2026-109618 (Out-Of-Memory State Corruption): Terjadi ketika penyerang memicu kondisi kehabisan memori (OOM) secara sengaja menggunakan request khusus, seperti pengunggahan formulir multipart. Saat runtime PHP mengeksekusi fungsi abort via
longjmp(), struktur data internal yang belum terinisialisasi sempurna diperlakukan sebagai memori valid selama proses pembersihan request, menyebabkan kerusakan memori (memory corruption). - CVE-2026-109619 (Stale Global Request State): Celah ini memungkinkan status internal dari siklus request sebelumnya tetap tersimpan di worker pool meskipun blok memori dasarnya telah dibebaskan. Worker yang melayani request berikutnya dapat mengakses data kadaluwarsa tersebut sebelum inisialisasi ulang dijalankan, memungkinkan manipulasi alur instruksi program.
2. Dampak terhadap Ekosistem Web dan Finansial
Karena PHP menjadi tulang punggung bagi lebih dari 70% situs web di dunia—mulai dari sistem enterprise, portal transaksi, hingga antarmuka payment gateway—risiko yang ditimbulkan oleh celah RCE ini sangat luas. Penyerang yang berhasil memanfaatkan celah ini dapat mengambil alih hak akses penuh peladen, mencuri kredensial basis data, hingga menyusupkan skrip berbahaya tanpa perlu memiliki akun atau melewati lapisan autentikasi aplikasi.
3. Rilis Patch Keamanan Resmi
Tim pengembang inti PHP bersama komunitas keamanan global telah merilis pembaruan darurat pada versi-versi berikut:
- PHP 8.2: Pembaruan ke versi 8.2.35
- PHP 8.3: Pembaruan ke versi 8.3.36
- PHP 8.4: Pembaruan ke versi 8.4.27
- PHP 8.5: Pembaruan ke versi 8.5.12
4. Langkah Mitigasi dan Kesiapan Infrastruktur ZANNPAY
Menanggapi peringatan siber global ini, tim teknis ZANNPAY telah melakukan langkah mitigasi proaktif pada seluruh arsitektur produksi:
- Pembaruan Paket Runtime: Seluruh modul PHP-FPM, core engine, dan runtime CLI pada peladen utama telah ditingkatkan ke versi yang telah ditambal (PHP 8.3.36).
- Isolasi Proses & Batas Memori: Konfigurasi pool worker PHP-FPM diperketat dengan pembatasan alokasi memori per request dan isolasi namespace proses kerja untuk mencegah eksploitasi OOM.
- Proteksi Multi-Layer WAF: Aturan inspeksi lalu lintas pada Web Application Firewall (WAF) Cloudflare dan Nginx ingress telah diperbarui untuk memblokir pola muatan (payload) request yang mencoba memanipulasi buffer memori HTTP.
Seluruh sistem operasional dan layanan pemrosesan transaksi di ZANNPAY dipastikan beroperasi secara normal, stabil, dan aman dari kerentanan ini.