Pembaruan Keamanan PHP: Tambal Dahulu, Lalu Tinjau Rahasia dan Akses

Pada 21 Oktober 2026, PHP merilis 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 untuk memperbaiki CVE-2026-109618 dan CVE-2026-109619, kerentanan kritis yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Pengumuman resmi menyebut instalasi yang melayani permintaan web berisiko, termasuk PHP-FPM dan Apache mod_php. Pembaruan adalah perbaikan lengkap; mitigasi sementara tidak setara.

Instalasi rentan bukan bukti kompromi. Perlakukan penambalan, penyelidikan, dan pemulihan kredensial sebagai pekerjaan terkait, dengan keputusan menurut lingkungan dan bukti Anda.

Pastikan yang benar-benar melayani permintaan

Inventarisasi situs publik, layanan internal, container, dan akun hosting yang menjalankan PHP. Konfirmasi versi dan status patch runtime yang memproses permintaan web; versi baris perintah saja mungkin menggambarkan instalasi berbeda.

Pada hosting terkelola, minta operator mengonfirmasi paket terpasang, layanan terkait, dan restart atau penerapannya. Distributor dapat membawa perbaikan ke versi lama, jadi dapatkan konfirmasi patch alih-alih menilai nomor versi asal saja. Periksa cakupan bersama operator lewat advisori tim PHP. Jangan memublikasikan halaman diagnostik yang membuka konfigurasi server.

Batasi paparan dan pulihkan lingkungan tepercaya

Segera koordinasikan pembaruan dengan hosting atau tim operasi. Batasi paparan atau isolasi sistem jika penilaian insiden mengharuskannya, sambil mempertahankan bukti relevan. Jangan menunda penanggulangan mendesak hanya untuk menyelesaikan pengumpulan log.

Tinjau periode paparan, log web dan sistem, berkas atau proses tak terduga, serta peristiwa audit penyedia terkait. Tidak ada peringatan atau log tampak normal tidak membuktikan host tidak tersentuh.

Jika kompromi terbukti atau masuk akal dicurigai, ikuti prosedur insiden untuk membangun ulang atau memulihkan dari sumber tepercaya. Patch tidak menghapus persistensi penyerang. Jangan gunakan host atau perangkat tak tepercaya untuk membuat, menerima, atau memasang rahasia pengganti.

Nilai kredensial sebelum merotasinya

Daftar kredensial yang dapat diakses proses terdampak: konfigurasi aplikasi, variabel lingkungan, token deployment, kredensial database, dan kunci API penyedia. Tentukan izin, cakupan, dan kemungkinan paparan. Pengumuman saja tidak menunjukkan bahwa seluruh kredensial organisasi bocor.

Untuk yang mungkin terpapar, koordinasikan penggantian dan pencabutan di penyedia penerbit dari perangkat administrator tepercaya. Pasang pengganti dalam lingkungan hasil pembangunan ulang yang tepercaya, lalu verifikasi integrasi sah. Pilih urutan menurut penyalahgunaan aktif, kemampuan penyedia, dan ketergantungan layanan. Jangan menjanjikan layanan tanpa gangguan atau membiarkan kunci terpapar aktif selamanya demi kemudahan.

Tinjau sesi dan akses pemulihan seperlunya, dokumentasikan penanggung jawab setiap perubahan. Jangan menaruh rahasia mentah dalam tiket atau log insiden. OWASP

Tutup akses darurat saat pekerjaan selesai

Berikan penanggap akun individu dengan izin sempit dan waktu akhir yang disepakati. Seusai pemulihan, tinjau peran sementara, sesi, akses deployment, serta tautan serah terima. Hapus akses tertinggal yang tidak diperlukan, lalu konfirmasi hasil pada layanan terkait, bukan sekadar mengandalkan pengingat kalender.

Pisahkan tiga kontrol berbeda

Kontrol	Yang diubah	Yang tidak dilakukan
Kedaluwarsa tautan serah terima	Akses berikutnya melalui tautan itu	Mencabut kredensial penyedia
Pencabutan kunci penyedia	Apakah penyedia menerima kunci itu	Menghapus salinan atau memperbaiki host terkompromi
Menghapus pesan atau catatan	Ketersediaan item di sistem itu	Menarik unduhan, tangkapan layar, atau teks tersalin

Gunakan serah terima sementara setelah kepercayaan pulih

Jika proses mengizinkan, buat memo berpassword dari sistem tepercaya berisi informasi minimum bagi penerima terverifikasi. Kirim password terpisah, gunakan masa berlaku atau batas akses jika paket mendukungnya. Jangan masukkan frasa pemulihan dompet atau kunci privat.

LOCK.PUB adalah alat serah terima terbatas: tidak menambal PHP, memperbaiki perangkat terinfeksi, mencabut kunci penyedia, atau menarik salinan. Alat ini tidak menggantikan pengelola rahasia, kontrol identitas, atau respons insiden.

Pertanyaan umum

Apakah memasang pembaruan PHP menyelesaikan penyelidikan?

Tidak. Pembaruan menangani kerentanan; bukti dan paparan menentukan penyelidikan, pemulihan, serta tindakan kredensial yang masih dibutuhkan.

Apakah memo kedaluwarsa mematikan kunci API di dalamnya?

Tidak. Cabut atau ganti kunci di penyedianya. Kredensial tersalin terpisah dari tautan yang mengirimkannya.

Terkait: berbagi kunci API dengan batas jelas.