Utas dari @programmerxxxxx membahas dua bug RCE critical di PHP core yang bocor ke publik sebelum patch tersedia. Utas itu dibuka dengan peringatan bahwa celah ini bisa memberi shell ke server hanya dengan satu HTTP request, tanpa login dan tanpa password.
Kronologi kebocoran
Dua hari sebelum utas ditulis, pada 20 Oktober, detail dua bug RCE critical di PHP core bocor ke publik lewat Hacker News. Postingan itu dihapus, tapi screenshot sudah tersebar dan peneliti mengonfirmasi isinya asli. PHP kemudian merilis patch darurat pada hari berikutnya.
Penulis utas menegaskan satu hal penting: ini bukan bug aplikasi. Ini bug di level runtime PHP. Artinya WordPress, Laravel, dan CodeIgniter semuanya terkena efek yang sama.
CVE-2026-109618
Celah pertama: PHP kehabisan memori saat menyiapkan request data. Datanya hanya ter-init sebagian, tapi pada tahap cleanup tetap dianggap valid.
Peneliti sudah memvalidasi bahwa celah ini memungkinkan full RCE tanpa autentikasi. Modalnya cuma satu HTTP request ke mod_php dengan setting default. Celah ini terjadi bahkan sebelum satu baris kode aplikasi dieksekusi.
CVE-2026-109619
Celah kedua adalah use-after-free. Sisa memory dari request lama tidak dibersihkan, sehingga worker yang memproses request berikutnya bisa membacanya.
Efeknya dua. Password, token, dan API key milik request orang lain bisa bocor antar request. Selain itu ada jalur RCE dengan privilege web worker.
Yang harus dilakukan sekarang
Ada tiga langkah yang disebut di utas.
Pertama, inventory semua PHP di server, termasuk yang tersembunyi di dalam software vendor.
Kedua, update ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Cek juga package dari distro.
Ketiga, PHP 8.1 ke bawah sudah end-of-life. Pilihannya: upgrade, cabut dari internet, atau taruh di belakang WAF.
Kalau belum bisa patch, ada langkah sementara: set session.upload_progress.enabled = Off di php.ini.
Status eksploitasi
Sampai hari sebelum utas ditulis, exploit belum terlihat masif di deteksi Huntress. Tapi PoC dan write-up teknis sudah publik. Wiz bahkan mendemonstrasikan tembus ke WordPress, Drupal, dan Joomla.
Penulis utas menyarankan untuk menganggap celah ini sudah weaponized.
Balasan di utas
@bang_hxxxxx menambahkan tautan ke x.com/Schiz… dan menyebut bahwa patchnya sudah ada.
Penulis utas berterima kasih atas tambahan itu dan mengonfirmasi kabar bahwa patch sudah tersedia. Pesannya: jangan menunda, langsung update semua server PHP dan cek lagi endpoint yang ter-expose ke publik.
Kalau kamu mengelola server
Cek versi PHP yang berjalan sekarang. Kalau masih di bawah 8.2.35, langsung update ke salah satu versi patch. Kalau server masih memakai PHP 8.1 ke bawah, jangan tunda upgrade.
