KERENTANAN KRITIS (CVE-2026-109618 & CVE-2026-109619)

Pelanggan Jagoan Kode Cloud yang Terhormat,

Kami ingin menginformasikan adanya pembaruan keamanan penting pada PHP yang dirilis secara resmi oleh tim pengembang PHP pada Rabu, 21 Oktober 2026. Pembaruan ini memperbaiki dua kerentanan kritis yang berpotensi memengaruhi website dan aplikasi berbasis PHP.

Kami mengimbau seluruh pelanggan untuk memperhatikan informasi berikut dan memastikan versi PHP yang digunakan telah mendapatkan pembaruan keamanan yang sesuai.

RINGKASAN INFORMASI

• Kerentanan: CVE-2026-109618 dan CVE-2026-109619
• Tingkat Keparahan: Kritis
• Skor CVSS v4.0: 9,2 untuk masing-masing kerentanan
• Potensi Dampak: Eksekusi kode jarak jauh tanpa autentikasi (unauthenticated remote code execution) dalam kondisi yang memungkinkan eksploitasi.
• Lingkup Terdampak: Instalasi PHP yang memproses permintaan web, termasuk PHP-FPM, Apache mod_php, php-cgi, LiteSpeed, dan FrankenPHP.
• Versi PHP yang Memuat Perbaikan: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Kerentanan ini berkaitan dengan penanganan memori dan status internal PHP. Oleh karena itu, pembaruan ke versi yang telah diperbaiki sangat disarankan.

LAYANAN YANG PERLU DIPERHATIKAN

1. WEB HOSTING / SHARED HOSTING DAN LAYANAN RESELLER HOSTING

Untuk pelanggan yang menggunakan layanan hosting cPanel Jagoan Kode Cloud, pembaruan PHP pada tingkat server dikelola oleh tim teknis kami.

Tim teknis Jagoan Kode Cloud telah memperbarui paket PHP pada server hosting ke versi patch yang direkomendasikan, sesuai dengan versi dan paket yang tersedia pada lingkungan server kami.

Dengan pembaruan ini, perbaikan keamanan pada tingkat paket PHP server telah diterapkan. Pelanggan tidak perlu melakukan pembaruan paket PHP server secara mandiri.

Namun, kami tetap menyarankan pelanggan untuk memperhatikan hal-hal berikut:

• Periksa versi PHP website melalui menu Select PHP Version atau MultiPHP Manager.
• Pastikan versi PHP yang digunakan website mendapatkan pembaruan keamanan yang sesuai.
• Jika masih menggunakan PHP versi lama (dibawah versi PHP 8.2), pertimbangkan migrasi ke versi yang masih didukung setelah memastikan kompatibilitas aplikasi, framework, tema, dan plugin.

Pembaruan paket PHP di tingkat server tidak selalu berarti seluruh website otomatis menggunakan versi PHP yang sama. Oleh sebab itu, pelanggan tetap disarankan memeriksa versi PHP yang aktif pada masing-masing website.

2. CLOUD VPS DAN DEDICATED SERVER (UNMANAGED)

Untuk pelanggan yang menggunakan VPS atau dedicated server dengan pengelolaan mandiri, pembaruan perangkat lunak di dalam sistem operasi merupakan tanggung jawab administrator server masing-masing.

Kami mengimbau pelanggan untuk:

• Memeriksa versi PHP yang digunakan oleh website, PHP-FPM, dan PHP CLI.
• Memastikan paket PHP telah mendapatkan pembaruan keamanan dari repositori resmi sistem operasi atau vendor yang digunakan.
• Melakukan pembaruan ke versi yang telah diperbaiki atau menggunakan paket security backport resmi jika tersedia.
• Memuat ulang layanan terkait apabila diperlukan dan memastikan website berjalan normal setelah pembaruan.

Perlu diperhatikan bahwa hasil perintah php -v hanya menunjukkan versi PHP CLI yang aktif pada lingkungan server tersebut. Versi PHP yang digunakan website dapat berbeda, sehingga pemeriksaan harus mencakup konfigurasi web server dan PHP-FPM yang relevan.

3. PELANGGAN DENGAN PHP VERSI LAMA

PHP 8.1 dan versi yang lebih lama telah berakhir masa dukungan dari proyek PHP utama. Ketersediaan pembaruan keamanan untuk versi tersebut bergantung pada distribusi Linux atau vendor dukungan yang digunakan.

Pelanggan yang masih menggunakan PHP versi lama disarankan merencanakan migrasi ke versi PHP yang masih didukung, dengan mempertimbangkan kompatibilitas aplikasi dan kebutuhan operasional.

Sebagai informasi, dukungan keamanan PHP 8.2 dari proyek PHP utama dijadwalkan berakhir pada 31 Desember 2026. Pelanggan yang menggunakan PHP 8.2 sebaiknya mulai merencanakan migrasi ke versi yang lebih baru.

LANGKAH YANG DISARANKAN

Untuk mengurangi risiko keamanan, kami menyarankan pelanggan untuk:

• Memastikan PHP yang digunakan telah menerima pembaruan keamanan.
• Memperbarui framework, CMS, plugin, dan dependensi aplikasi secara berkala.
• Menghapus komponen aplikasi yang tidak digunakan dan memastikan konfigurasi server tetap aman.
• Melakukan pencadangan data sebelum perubahan versi PHP atau pembaruan besar.
• Menguji aplikasi setelah pembaruan, terutama untuk website yang menggunakan aplikasi khusus atau framework dengan persyaratan versi PHP tertentu.

Pembaruan ke versi PHP yang telah diperbaiki merupakan langkah mitigasi utama. Tidak terdapat mitigasi konfigurasi umum yang sepenuhnya menggantikan pembaruan tersebut.

REFERENSI RESMI

Informasi teknis dan detail pembaruan dapat dipelajari melalui tautan berikut:

• Pengumuman keamanan PHP: https://www.php.net/archive/2026.php#2026-10-21-5
• Detail CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• Detail CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Keamanan layanan dan data pelanggan merupakan perhatian penting bagi Jagoan Kode Cloud. Apabila Anda memiliki pertanyaan lebih lanjut, silakan menghubungi tim Support Jagoan Kode Cloud melalui kanal dukungan resmi kami.

Terima kasih atas perhatian dan kepercayaan Anda kepada Jagoan Kode Cloud.

Salam,

Tim Jagoan Kode Cloud