Laporan Riset Security System Global — 2026-10-24

Cakupan: 23 Oktober 2026 pukul 07.00–24 Oktober 2026 pukul 07.00 WIB. Fokus pada perkembangan baru; temuan berisiko tinggi dari hari sebelumnya disebut hanya jika ada perkembangan relevan.

Ringkasan eksekutif

1. P0 — PHP: PHP mengungkap *CVE-2026-115560*, kemungkinan RCE yang bergantung pada kombinasi konfigurasi dan alur aplikasi tertentu. Mitigasi resmi adalah menonaktifkan session upload progress. Skor CVSS dan rentang versi terdampak belum dipastikan dari advisori yang ditinjau. citeturn2view0
2. P0 — PHP: CERT-EU melaporkan pada 23 Oktober bahwa PoC awal untuk *CVE-2026-109618* dan *CVE-2026-109619* mulai beredar. Ini meningkatkan risiko, tetapi bukan konfirmasi eksploitasi di alam liar. Versi perbaikannya tetap 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. citeturn1view0turn2view0
3. Tidak ditemukan kampanye baru 24 jam terakhir yang dapat dikonfirmasi dengan bukti primer kuat dalam sumber yang diperiksa. Ini bukan bukti bahwa aktivitas lain tidak terjadi.

Kerentanan baru/aktif dalam 24–48 jam terakhir

CVE-2026-115560 — PHP session upload progress RCE

• Produk/versi: PHP. Rentang versi terdampak belum dipastikan dalam advisori yang ditinjau. Kerentanan bergantung pada konfigurasi dan alur aplikasi tertentu, bukan otomatis berdampak pada semua aplikasi PHP.
• Kondisi pemicu: aplikasi menggunakan session.serialize_handler tertentu, mengubah handler saat runtime melalui ini_set() sebelum session_start(), dan session upload progress tetap aktif.
• Severity/CVSS: PHP menyebut kemungkinan RCE, tetapi menilai vektornya berisiko rendah; skor CVSS belum tersedia dalam advisori yang diperiksa.
• Eksploitasi: tidak ada eksploitasi aktif yang dikonfirmasi oleh sumber primer yang ditinjau.
• KEV: status pencantuman pada CISA KEV belum dipastikan dalam pemeriksaan ini.
• Mitigasi resmi: tetapkan session.upload_progress.enabled=0. PHP menyatakan ini melindungi dari vektor tersebut hingga rilis perbaikan reguler berikutnya. citeturn2view0

Perkembangan CVE-2026-109618 dan CVE-2026-109619

• Produk/versi: instalasi PHP yang melayani request web, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Versi perbaikan: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Untuk versi lebih lama/EOL, periksa patch backport dari vendor.
• Severity/CVSS: CERT-EU mencatat CVSS 9.2 untuk masing-masing; advisori PHP menyebut keduanya sebagai critical unauthenticated RCE.
• Eksploitasi: PoC awal dilaporkan beredar; eksploitasi di alam liar belum terkonfirmasi dari sumber primer yang ditinjau.
• Tindakan: segera patch, restart semua worker PHP, dan verifikasi versi runtime/image yang aktif. Jangan menganggap mitigasi parsial sebagai pengganti patch. citeturn1view0turn2view0

Kampanye terkonfirmasi

Tidak ada kampanye malware, ransomware, phishing, supply-chain, cloud, atau identity baru yang dapat dikonfirmasi dari sumber primer yang diperiksa dalam periode ini.

Dampak operasional

• Linux/Windows: inventaris PHP pada host, paket distro, container, shared hosting, dan build Windows. Periksa konfigurasi session serta perubahan handler saat runtime.
• Cloud: audit image dan workload yang membawa PHP; rebuild image dan restart worker setelah patch atau perubahan konfigurasi.
• Website/API: prioritaskan endpoint PHP publik untuk dua RCE yang diumumkan sebelumnya. CVE-2026-115560 relevan bila konfigurasi khusus yang disebut PHP digunakan.
• Endpoint: tidak ada advisori endpoint baru berprioritas tinggi yang terkonfirmasi dalam periode ini.
• Jaringan: WAF dan pembatasan request bukan pengganti patch; pertimbangkan membatasi akses sementara jika patch belum dapat diterapkan.
• Organisasi Indonesia: minta penyedia hosting mengonfirmasi versi/backport dan restart worker. Periksa situs, CMS, aplikasi internal, serta container PHP.

Tindakan P0/P1/P2

P0 — 0–24 jam

1. Terapkan session.upload_progress.enabled=0 pada konfigurasi PHP yang berlaku dan restart worker.
2. Pastikan CVE-2026-109618 dan CVE-2026-109619 telah ditangani dengan versi patch/backport resmi; verifikasi worker sudah memakai runtime terbaru.
3. Jika patch belum tersedia, isolasi layanan rentan dari internet bila memungkinkan dan dokumentasikan risiko yang masih terbuka.

P1 — 24–72 jam

1. Audit pemakaian session.serialize_handler, ini_set(), dan urutan pemanggilan session_start() sesuai kondisi dalam advisori PHP.
2. Tinjau log PHP dan web server untuk anomali; lakukan investigasi jika terdapat indikasi kompromi.
3. Perbarui base image, pipeline CI/CD, dan paket hosting, lalu lakukan pemindaian ulang.

P2 — dalam 7 hari

1. Rencanakan migrasi dari cabang PHP EOL; konfirmasi status backport dengan vendor distro atau hosting.
2. Tambahkan pemeriksaan versi runtime, konfigurasi session, dan restart worker ke kontrol compliance.

Hal yang belum pasti

• Untuk CVE-2026-115560, detail teknis lengkap, rentang versi, skor CVSS, dan tanggal rilis perbaikan belum dipastikan dari sumber yang ditinjau.
• Eksploitasi liar CVE-2026-115560 belum terkonfirmasi.
• Beredarnya PoC untuk dua RCE PHP sebelumnya tidak membuktikan bahwa eksploitasi berhasil atau sedang berlangsung.
• Status KEV untuk ketiga CVE tidak dinyatakan sebagai terverifikasi dalam laporan ini.
• Pemantauan sumber publik bukan bukti bahwa tidak ada ancaman lain.

Sumber bertanggal

• PHP.net, “Informational advisory: Session upload progress” — 23 Oktober 2026. citeturn2view0
• CERT-EU, Security Advisory 2026-018, pembaruan v1.2 — 23 Oktober 2026. citeturn1view0
• PHP.net, advisori dua kerentanan RCE — 21 Oktober 2026. citeturn2view0

Impor SQLite berhasil dan diverifikasi: 1 laporan baru diimpor; total laporan meningkat dari 46 menjadi 47. Database kini mencatat 402 temuan, 144 kerentanan, dan 291 sumber.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").