Pengantar
PHP kembali memperingatkan adanya kerentanan keamanan baru yang berpotensi memungkinkan penyerang menjalankan kode pada server web. Peringatan ini muncul hanya dua hari setelah PHP merilis pembaruan darurat untuk memperbaiki dua celah kritis yang dikenal sebagai PHP2Shell.
Kerentanan baru tersebut memiliki identitas CVE-2026-115560. Menurut laporan The Hacker News pada 23 Oktober 2026, masalah ini hanya memengaruhi aplikasi dengan kombinasi konfigurasi tertentu yang relatif jarang digunakan.
Karena cakupan risikonya dinilai terbatas, tim PHP tidak merilis patch darurat khusus. Sebagai langkah sementara, pengembang disarankan menonaktifkan fitur session upload progress hingga perbaikan tersedia dalam rilis rutin berikutnya.
Meski begitu, administrator server tetap perlu memeriksa konfigurasi PHP yang digunakan karena kerentanan ini berpotensi menimbulkan risiko Remote Code Execution (RCE), yaitu kemampuan menjalankan kode dari jarak jauh pada sistem yang terdampak. <Cite refs={[“turn224205news1”]}/>
Mengenal Kerentanan CVE-2026-115560
CVE-2026-115560 merupakan kerentanan yang berkaitan dengan pengelolaan sesi pada PHP. Masalah ini dapat muncul ketika aplikasi mengubah pengaturan serialisasi sesi pada waktu tertentu, sementara fitur pelacakan kemajuan unggahan file masih aktif.
Secara sederhana, PHP menggunakan sesi untuk menyimpan informasi yang berkaitan dengan pengguna ketika mereka berinteraksi dengan aplikasi web. Contohnya adalah status login atau informasi lain yang diperlukan selama pengguna mengakses website.
Untuk mengelola data sesi, PHP memiliki pengaturan bernama session.serialize_handler. Pengaturan ini menentukan cara data sesi disimpan dan dibaca kembali.
Masalah dapat muncul ketika aplikasi menggunakan kombinasi pengaturan tertentu yang menyebabkan proses penanganan sesi berjalan dalam kondisi yang tidak semestinya.
PHP menyebut bahwa kerentanan ini hanya dapat terjadi apabila sejumlah kondisi konfigurasi dan kode aplikasi terpenuhi secara bersamaan. Dengan demikian, tidak semua website berbasis PHP otomatis terdampak.
Hingga laporan diterbitkan pada 23 Oktober 2026, PHP belum mengumumkan rentang versi yang terdampak maupun skor keparahan resmi untuk CVE tersebut. <Cite refs={[“turn224205news1”]}/>
Bagaimana Kerentanan Ini Bisa Terjadi?
Agar kerentanan ini dapat muncul, aplikasi harus menggunakan kombinasi konfigurasi khusus.
Pertama, aplikasi mengatur session.serialize_handler menjadi php_binary atau php_serialize melalui konfigurasi awal.
Kedua, aplikasi mengubah pengaturan tersebut menjadi php menggunakan fungsi ini_set() ketika aplikasi sedang berjalan.
Ketiga, perubahan tersebut dilakukan sebelum fungsi session_start() dipanggil.
Selain itu, fitur session.upload_progress harus tetap aktif.
Kombinasi tersebut memungkinkan munculnya kondisi yang tidak diharapkan ketika PHP menangani data sesi dan memproses permintaan dari pengguna.
Namun, aplikasi yang tidak mengubah session.serialize_handler ketika berjalan tidak terpapar melalui jalur kerentanan spesifik yang dijelaskan dalam peringatan ini, meskipun fitur upload progress masih aktif.
Hal ini penting karena administrator tidak perlu langsung menyimpulkan bahwa seluruh aplikasi PHP memiliki risiko yang sama. Pemeriksaan perlu difokuskan pada konfigurasi dan kode aplikasi yang benar-benar digunakan.
Apa Itu Session Upload Progress?
Session upload progress merupakan fitur PHP yang digunakan untuk memantau kemajuan proses unggah file.
Misalnya, pengguna mengunggah dokumen berukuran besar melalui website. Aplikasi dapat menggunakan fitur ini untuk menampilkan informasi mengenai proses unggahan yang sedang berlangsung.
Fitur tersebut aktif secara default pada PHP. Namun, tidak semua aplikasi memerlukannya.
Dalam kondisi tertentu, fitur ini dapat berinteraksi dengan proses pengelolaan sesi sebelum inisialisasi permintaan selesai. Interaksi tersebut menjadi relevan terhadap kerentanan baru yang diumumkan PHP.
Karena itu, PHP menyarankan administrator menonaktifkan fitur tersebut sementara waktu sampai perbaikan tersedia.
Langkah ini merupakan mitigasi untuk jalur kerentanan yang dijelaskan dalam advisory CVE-2026-115560, bukan pengganti pembaruan keamanan untuk seluruh kerentanan PHP.
Mengapa PHP Tidak Merilis Patch Darurat?
Berbeda dengan PHP2Shell, kerentanan CVE-2026-115560 membutuhkan kombinasi konfigurasi aplikasi yang tidak umum.
PHP menilai kondisi tersebut relatif jarang terjadi dalam penggunaan sehari-hari. Oleh sebab itu, tim PHP memilih menangani perbaikannya melalui siklus rilis rutin, bukan merilis pembaruan darurat khusus.
PHP juga menyatakan akan menerbitkan advisory lengkap ketika perbaikan dirilis.
Sampai saat laporan The Hacker News diterbitkan, belum ada informasi resmi mengenai versi yang terdampak, versi yang akan menerima perbaikan, ataupun skor keparahan CVE-2026-115560.
Walaupun risiko dinilai tidak umum, administrator tetap disarankan menerapkan mitigasi yang dianjurkan dan memantau informasi resmi dari proyek PHP.
Perbedaan CVE-2026-115560 dengan PHP2Shell
Kerentanan baru ini muncul setelah PHP memperbaiki dua celah kritis yang dikenal sebagai PHP2Shell, yaitu CVE-2026-109618 dan CVE-2026-109619.
PHP merilis pembaruan darurat untuk kedua celah tersebut pada 21 Oktober 2026. Versi perbaikannya meliputi PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
Berbeda dengan kerentanan baru yang membutuhkan kombinasi konfigurasi tertentu, kedua celah PHP2Shell memiliki jalur serangan yang lebih luas dan dapat memungkinkan penyerang tanpa akun menjalankan kode pada server yang rentan.
Perlu diperhatikan bahwa pembaruan untuk PHP2Shell tidak otomatis memperbaiki CVE-2026-115560. Keduanya merupakan masalah keamanan yang berbeda.
Aktivitas percobaan eksploitasi yang dilaporkan setelah 21 Oktober berkaitan dengan dua kerentanan PHP2Shell sebelumnya. Pada saat laporan diterbitkan, belum ada eksploitasi CVE-2026-115560 yang dilaporkan. <Cite refs={[“turn224205news1″,”turn224205news2”]}/>
Cara Mengurangi Risiko CVE-2026-115560
Sambil menunggu perbaikan resmi, administrator dapat melakukan beberapa langkah berikut.
1. Nonaktifkan fitur session upload progress
PHP merekomendasikan pengaturan berikut sebagai mitigasi sementara:
session.upload_progress.enabled=0Pengaturan tersebut menonaktifkan fitur pemantauan kemajuan unggahan file.
Sebelum menerapkannya, periksa apakah aplikasi menggunakan fitur tersebut untuk menampilkan status unggahan. Jika fitur ini dinonaktifkan, fungsi indikator kemajuan unggahan dapat berhenti bekerja.
Perubahan sebaiknya diterapkan pada konfigurasi yang benar-benar digunakan oleh layanan web, kemudian diverifikasi setelah konfigurasi dimuat ulang atau layanan dimulai ulang sesuai kebutuhan lingkungan.
2. Audit konfigurasi serialisasi sesi
Periksa pengaturan session.serialize_handler pada konfigurasi PHP dan kode aplikasi.
Administrator juga perlu mencari penggunaan ini_set() yang mengubah pengaturan tersebut sebelum session_start() dijalankan.
Pemeriksaan ini membantu menentukan apakah aplikasi memiliki kombinasi konfigurasi yang disebutkan dalam advisory.
3. Periksa konfigurasi PHP yang melayani website
Jangan hanya mengandalkan hasil pemeriksaan melalui terminal. Konfigurasi PHP CLI dapat berbeda dari konfigurasi PHP-FPM atau Apache yang melayani permintaan website.
Pastikan pengaturan mitigasi sudah aktif pada runtime yang benar-benar menangani trafik aplikasi.
4. Tetap perbarui PHP
Gunakan versi PHP yang masih didukung dan ikuti pengumuman resmi untuk mengetahui kapan patch CVE-2026-115560 tersedia.
Pembaruan PHP2Shell tetap penting apabila server belum menerapkannya. Menonaktifkan session upload progress tidak menggantikan kebutuhan memperbarui runtime untuk memperbaiki kerentanan lain.
5. Uji aplikasi setelah perubahan
Setelah menerapkan mitigasi, uji fungsi login, pengelolaan sesi, unggah file, dan fitur lain yang bergantung pada konfigurasi tersebut.
Langkah ini membantu memastikan bahwa mitigasi tidak menimbulkan gangguan pada layanan yang sedang berjalan.
Apakah Kerentanan Ini Sudah Dieksploitasi?
Menurut laporan The Hacker News pada 23 Oktober 2026, belum ada eksploitasi CVE-2026-115560 yang dilaporkan.
Namun, situasinya berbeda untuk dua kerentanan PHP2Shell yang diumumkan sebelumnya. Beberapa organisasi keamanan melaporkan peningkatan percobaan eksploitasi terhadap CVE-2026-109618 dan CVE-2026-109619.
Penyerang dilaporkan mencoba memanfaatkan kedua celah tersebut untuk memasang varian botnet Mirai. Aktivitas pemindaian dan percobaan serangan telah diamati, tetapi laporan yang tersedia juga menyebutkan bahwa sejumlah upaya tersebut belum menghasilkan eksekusi kode yang terkonfirmasi.
Perbedaan ini perlu diperhatikan. Percobaan eksploitasi terhadap kerentanan lama tidak membuktikan bahwa CVE-2026-115560 telah dieksploitasi.
Administrator tetap perlu memantau log server dan menerapkan pembaruan keamanan sesuai rekomendasi resmi. <Cite refs={[“turn224205news1″,”turn224205news2”]}/>
Siapa yang Perlu Memeriksa Sistemnya?
Pemeriksaan terutama perlu dilakukan oleh:
- Administrator VPS dan server hosting berbasis PHP.
- Pengembang aplikasi PHP yang mengubah konfigurasi sesi saat aplikasi berjalan.
- Pengelola website yang menggunakan fitur unggah file.
- Tim DevOps yang mengelola konfigurasi PHP-FPM, Apache, container, dan lingkungan deployment.
- Tim keamanan yang bertanggung jawab atas pembaruan sistem dan penilaian kerentanan.
Penggunaan PHP saja tidak cukup untuk menyimpulkan bahwa sebuah website terdampak. Yang perlu diperiksa adalah kombinasi versi, konfigurasi, dan perilaku kode yang relevan.
Kesimpulan
PHP kembali memperingatkan adanya celah keamanan baru yang berpotensi memungkinkan eksekusi kode jarak jauh. Kerentanan CVE-2026-115560 berbeda dari PHP2Shell dan hanya dapat muncul pada kombinasi konfigurasi serta kode aplikasi tertentu.
Hingga 23 Oktober 2026, patch khusus belum tersedia, rentang versi terdampak belum diumumkan, dan belum ada eksploitasi yang dilaporkan. Sebagai langkah sementara, PHP merekomendasikan penonaktifan fitur session.upload_progress.enabled.
Administrator sebaiknya memeriksa konfigurasi sesi, memastikan mitigasi diterapkan pada runtime yang melayani website, dan mengikuti pengumuman resmi PHP untuk mendapatkan pembaruan berikutnya.
Pesan utama bagi pengelola website: jangan panik, tetapi jangan mengabaikan peringatan keamanan. Identifikasi konfigurasi yang berisiko, terapkan mitigasi yang direkomendasikan, dan pastikan pembaruan PHP tetap menjadi bagian dari proses pemeliharaan keamanan server.
Referensi: The Hacker News — PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches
SEO title: PHP Peringatkan Celah RCE Baru CVE-2026-115560
Meta description: PHP memperingatkan celah RCE baru CVE-2026-115560. Kenali konfigurasi yang berisiko dan mitigasi sementara sebelum patch resmi tersedia.
Kata kunci: CVE-2026-115560, PHP vulnerability, PHP RCE, PHP2Shell, session upload progress, keamanan server PHP.
URL slug: php-cve-2026-115560-unpatched-rce
