Pada 21 Oktober 2026 PHP merilis 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Rilis itu menutup dua celah yang, pada kondisi tertentu, memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Berita breaking soal versi patch sudah tersedia di CodeF, sementara tulisan PHP Foundation fokus pada postmortem: tim menjelaskan celah yang mereka temukan, alasan perbaikan sempat mandek, dan reorganisasi PHP Foundation keamanan setelah insiden. CVSS v4.0 resmi adalah 9.2 Critical, bukan angka 10.0 yang sempat beredar sebelum rilis.
PHP Foundation keamanan: dua CVE tanpa mitigasi lengkap
CVE-2026-109618 berkaitan dengan korupsi memori saat batas out-of-memory tercapai pada timing tertentu. State internal bisa terinisialisasi sebagian, lalu runtime menganggapnya valid. Foundation menyatakan RCE terbukti pada Apache mod_php dengan pengaturan default, serta jalur aplikasi pada PHP-FPM.
CVE-2026-109619 menyangkut state global stale setelah fatal error, sehingga request berikutnya pada worker yang sama dapat memakai memori yang proses sebelumnya sudah bebaskan. Use-after-free dan crash worker terkonfirmasi, dengan demonstrasi RCE pada aplikasi nyata menurut pelapor.
Announcement rilis menegaskan tidak ada mitigasi lengkap pengganti upgrade. Artikel ini tidak memuat trigger request, payload, atau uraian heap. Untuk daftar versi aman dan langkah update runtime, gunakan berita patch keamanan PHP RCE Oktober 2026.
Audit 2024 dan kegagalan struktural
PHP menjalani audit eksternal pertama dalam bertahun-tahun pada 2024. Sovereign Tech Agency mendanai audit itu, OSTIF mengorganisirnya, dan Quarkslab menjalankan pekerjaan lapangan. Saat menangani temuan audit, developer inti menemukan tanda awal masalah OOM yang kemudian terkait CVE-2026-109618. Pada 2024 exploit konkret belum terbukti, sehingga isu itu kalah prioritas dari celah lain dengan dampak jelas.
Tim keamanan PHP mengembangkan beberapa pendekatan perbaikan OOM, masing-masing membawa trade-off kompatibilitas, potensi denial-of-service baru, atau dampak pada ekstensi pihak ketiga. Proses keputusan berbasis konsensus plus sedikitnya engineer dengan pengetahuan mesin PHP membuat pekerjaan mandek dan restart berbulan-bulan. Foundation menyebut situasi itu structural failure, bukan alasan untuk menuduh PHP sengaja membiarkan RCE dua tahun tanpa konteks evolusi exploitability.
Peneliti, AI, dan kebocoran disclosure
Sejak Mei 2026 Foundation membentuk Ecosystem Security Team untuk triage dan koordinasi. Penelitian Calif (Ryan A) melaporkan RCE tanpa syarat dengan root cause OOM yang sama pada 11 Agustus 2026. OpenAI melaporkan root cause identik di hari yang sama, lalu vektor tambahan dari OpenAI, Wiz, dan audit Trail of Bits memperjelas dampak penuh.
Foundation memakai alat seperti Claude Mythos via Alpha-Omega dan OpenAI Daybreak Red untuk validasi laporan, tetapi menegaskan manusia yang memutus validitas, dampak, dan patch. Sejak 1 Juli tim mempublikasikan 15 CVE sambil memproses lebih dari 100 laporan invalid, duplikat, atau tidak reproduksibel, beban triage naik seiring laporan berbantuan AI.
Pada 20 Oktober 2026 CVE ID beredar di forum dengan waktu rilis dan skor CVSS salah. Proyek memajukan pre-announcement dan rilis dari 22 ke 21 Oktober. Video PoC sempat terpublikasi, lalu menyebarkan detail terbatas. Pada saat rilis publik, tim keamanan PHP menyatakan belum mengidentifikasi functional exploit dari PoC yang mereka periksa, pernyataan terbatas waktu itu, bukan jaminan nol exploit selamanya.
Perubahan proses PHP Foundation keamanan dan WordPress
Foundation sedang mengubah eskalasi, keputusan mayoritas, staffing, dan workflow reproduksi keamanan. Funding dari perusahaan, hosting, cloud, dan institusi publik tetap menjadi tema postmortem karena security language runtime bergantung pada engineer berpengalaman, bukan scanner saja.
Celah ini ada di runtime PHP, bukan inti WordPress. Situs WordPress tetap exposed melalui versi PHP, SAPI, dan jalur aplikasi hosting. CodeF melaporkan survei keamanan WordPress developer 2026. Survey itu menunjukkan awareness plugin sering lebih tinggi daripada hygiene runtime.
Tim yang menangani patch framework PHP lain dapat membandingkan ritme respons Symfony Oktober 2026 pada artikel Symfony security update. Channel PHP News membantu melacak RFC dan rilis berikutnya setelah darurat ini. WordPress 7.x tetap butuh interpreter versi patch, sebagaimana checklist keamanan WordPress terbaru di CodeF ingatkan.
Postmortem Foundation tidak menggantikan urgency upgrade hari ini. Tulisan vendor menjelaskan mengapa dua bug di memori dan error handling sulit diperbaiki, dan bagaimana organisasi PHP berusaha agar trade-off serupa tidak lagi mandek selama exploitability sudah jelas.
Embargo, Chainguard, dan hosting
Foundation mencatat distributor sudah menerima patch lebih awal agar image siap saat embargo lepas. Chainguard memublikasikan image berisi fix lebih dari enam jam sebelum rilis koordinasi, sehingga attacker dapat mempelajari binary patch sementara mayoritas pengguna belum mendapat paket resmi. Kejadian itu menambah tekanan pada timeline disclosure publik dan mempercepat sirkulasi PoC di media sosial.
Hosting provider dan distro Linux menjadi saluran update utama untuk WordPress di shared hosting. Tanpa funding engineer, proses consensus yang lambat di upstream PHP berdampak langsung ke jutaan situs yang menunggu paket downstream. Foundation explicitly meminta sponsor dari cloud dan pemerintah agar staffing security tidak lagi tipis.
Tim profesional dan langkah operator
Volker Dusch sebagai AI Security Engineer in Residence dan rekrutmen Alexandre Daubois serta Daniel Scherzer pada 2026 menandai pergeseran dari volunteer-only triage ke tim profesional. Ecosystem Security Team yang Foundation bentuk Mei 2026 menjadi buffer antara flood laporan AI-assisted dan developer mesin PHP yang harus menulis patch kompatibel.
Untuk operator WordPress, postmortem ini alasan teknis mengapa “tunggu hosting update” bisa berisiko bila panel tidak otomatis. Verifikasi versi FPM dan CLI terpisah, terutama setelah minggu disclosure bocor. Checklist keamanan WordPress 7.x di CodeF tetap relevan setelah runtime patch, karena aplikasi layer tidak menutup celah interpreter.
Foundation berterima kasih kepada Calif, Wiz, OpenAI, Trail of Bits, Quarkslab, OSTIF, Alpha-Omega, Anthropic, Sovereign Tech Agency, dan sponsor. Daftar panjang itu menunjukkan RCE modern sering muncul lintas vendor penelitian, bukan satu bug bounty tunggal. Organisasi pengguna PHP sebaiknya baca postmortem penuh di thephp.foundation dan merencanakan upgrade berulang, bukan patch sekali lalu lupa.
PHP 8.2 mendekati end of life pada 31 Desember 2026 menurut catatan rilis 8.2.35, sehingga patch darurat Oktober menjadi pengingat sekaligus untuk merencanakan naik branch. Branch yang upstream sudah tidak update butuh backport distro atau build sumber sendiri, langkah yang lebih berat dibanding apt update rutin.
