BSSN dan Komdigi Peringatkan Dua Celah Kritis PHP yang Rentan Dieksploitasi Tanpa Autentikasi

Badan Siber dan Sandi Negara (BSSN) memperingatkan pemilik dan pengelola situs web mengenai dua kerentanan kritis pada bahasa pemrograman PHP, yakni CVE-2026-109618 dan CVE-2026-109619. Melalui laporan Security Advisory yang diterbitkan pada Kamis (22/10), BSSN menyatakan kedua celah tersebut berpotensi dimanfaatkan penyerang untuk menjalankan kode berbahaya dari jarak jauh (remote code execution/RCE) tanpa memerlukan proses autentikasi.

Kerentanan pertama, CVE-2026-109618, bermula dari kegagalan penanganan kondisi out-of-memory (OOM) saat memori komputer tidak lagi mencukupi. Keadaan ini memicu kesalahan pengelolaan memori ketika server memproses permintaan HTTP dari pengguna. Penyerang dapat mengirimkan permintaan khusus ke server, dan jika berhasil, mereka mampu mengeksekusi perintah berbahaya secara jarak jauh.

Sementara itu, CVE-2026-109619 ditemukan pada mekanisme pengelolaan memori PHP. Kesalahan terjadi ketika sistem masih mencoba mengakses bagian memori yang sebenarnya sudah dilepaskan dan tidak lagi digunakan. Kondisi ini mengganggu kinerja server sekaligus membuka celah bagi peretas untuk menyisipkan kode berbahaya dari jarak jauh.

BSSN mencatat bahwa keberhasilan eksploitasi atas kedua celah ini bergantung pada kondisi pemrosesan permintaan serta konfigurasi lingkungan PHP yang digunakan. Versi yang terdampak mencakup PHP 8.1 dan versi lebih lama, yang saat ini telah berstatus end-of-life (EOL) atau tidak lagi menerima dukungan resmi.

Menanggapi temuan tersebut, Kementerian Komunikasi dan Digital (Komdigi) mengimbau pengelola sistem agar tidak menunda pembaruan perangkat lunak. Menurut keterangan Komdigi pada Kamis (22/10), tindakan utama untuk menutup kedua kerentanan ini adalah memasang pembaruan keamanan yang sesuai. Perubahan konfigurasi saja dinilai tidak memberikan perlindungan secara menyeluruh terhadap ancaman tersebut.