Apa yang terjadi
Pada 2026-10-21 proyek PHP mengungkapkan dua kelemahan RCE tanpa autentikasi yang kritis (CVE-2026-109618 korupsi memori keluar-prematur pada OOM; CVE-2026-109619 status global basi antar-permintaan -> use-after-free). CISA menambahkan keduanya ke KEV pada 2026-10-26 dengan eksploitasi terkonfirmasi; Cloudflare melaporkan jutaan upaya eksploitasi dan AWS mengatakan pemeriksaan dimulai berhari-hari sebelum patch. Pada 2026-10-22 operator botnet Mirai bergabung dalam serangan saat eksploitasi bypass ASLR muncul.
Mengapa penting
PHP menghosting sebagian besar front-end web dan permukaan admin yang membungkus layanan AI/ML — UI marketplace model, dasbor MLflow/vektor-DB, dan ekosistem plugin AI. Karena korupsi terjadi saat shutdown permintaan sebelum autentikasi aplikasi, tidak ada kontrol tingkat aplikasi yang dapat memblokirnya; RCE pada tingkat web dapat berpindah ke bidang data yang memberi makan beban kerja AI.
Vektor serangan
Permintaan HTTP yang dibuat tanpa autentikasi (multipart yang kekurangan Content-Length yang valid, header per-bagian tanpa batas) memicu korupsi memori shutdown permintaan / use-after-free antar-permintaan sebelum kode aplikasi dijalankan; mengarah ke DoS, pengungkapan memori, atau eksekusi kode jarak jauh. Terkonfirmasi di alam liar dan ditambahkan ke CISA KEV pada 2026-10-26.
Sistem yang terdampak
PHP 8.2 <8.2.35, 8.3 <8.3.36, 8.4 <8.4.27, 8.5 <8.5.12 (CVE-2026-109618 RCE korupsi memori dan CVE-2026-109619 UAF RCE status permintaan basi); tanpa perbaikan pada cabang EOL
Mitigasi
Patch ke PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Jika tidak dapat segera ditingkatkan: memory_limit=-1, batasi ukuran isi permintaan/bagian multipart/header, dan nonaktifkan session.upload_progress pada PHP 8.5. Bangun kembali/putar gambar kontainer ke PHP-FPM yang dipatch.