PHP Umumkan Celah RCE Baru CVE-2026-115560, Belum Ada Patch dan Admin Diminta Matikan Session Upload Progress

Tim pengembang PHP merilis pemberitahuan keamanan pada Jumat, 23 Oktober 2026, tentang CVE-2026-115560, celah eksekusi kode jarak jauh (RCE) di fitur session upload progress. Patch belum tersedia. PHP meminta admin server menyetel session.upload_progress.enabled=0 sampai rilis bugfix reguler berikutnya keluar.

Pengumuman ini datang dua hari setelah rilis darurat untuk celah PHP2Shell yang sudah dipakai penyerang. Menurut IT-Connect, versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang dirilis 21 Oktober untuk PHP2Shell tidak menutup celah baru ini. Jadi server yang sudah diperbarui pun masih perlu mitigasi tambahan.

Hanya muncul pada kombinasi konfigurasi tertentu

PHP menyebut celah ini hanya bisa terjadi bila tiga syarat terpenuhi sekaligus. Aplikasi menyetel session.serialize_handler ke php_binary atau php_serialize di konfigurasi, lalu mengubahnya kembali ke php saat runtime lewat ini_set() sebelum memanggil session_start(). Syarat ketiga, fitur session upload progress masih aktif, padahal fitur ini memang menyala secara bawaan.

Karena kombinasi itu jarang dipakai, PHP tidak membuat rilis darurat. Perbaikan akan masuk siklus rilis biasa, dan advisori lengkap baru terbit bersama rilis tersebut. Sampai berita ini ditulis, PHP belum mengumumkan daftar versi terdampak, skor CVSS, maupun nomor versi yang membawa perbaikan. Belum ada laporan eksploitasi aktif atau proof-of-concept publik untuk CVE-2026-115560.

Pengaturan yang sama sebelumnya sudah tercantum sebagai mitigasi di advisori GHSA-6wmf-4rv5-p3rp untuk CVE-2026-109619, salah satu celah PHP2Shell. Admin yang sudah menerapkannya sejak 21 Oktober tidak perlu melakukan apa pun lagi, kata tim PHP.

Langkah yang perlu diambil admin server

• Pastikan PHP sudah berada di versi 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 agar celah PHP2Shell tertutup.
• Setel session.upload_progress.enabled=0 di php.ini, konfigurasi pool PHP-FPM, atau konfigurasi server, lalu restart semua worker. Menurut IT-Connect yang merujuk advisori GHSA, mengubahnya lewat ini_set() atau .user.ini tidak cukup.
• Periksa kode aplikasi dan pustaka pihak ketiga: adakah bagian yang mengganti session.serialize_handler saat runtime. Aplikasi yang tidak pernah mengubahnya, menurut PHP, boleh tetap menyalakan fitur ini.
• Pantau halaman berita php.net untuk rilis bugfix berikutnya dan advisori lengkap CVE-2026-115560.

Efek samping mitigasi ini cukup jelas: bilah progres unggahan file yang mengandalkan fitur session upload progress akan berhenti bekerja. Situs yang tidak memakai bilah progres semacam itu bisa mematikannya tanpa kehilangan fungsi apa pun. Pengguna shared hosting yang tidak punya akses ke php.ini sebaiknya menanyakan status pengaturan ini ke penyedia hosting mereka.

Sumber: PHP.net, BleepingComputer, IT-Connect. Gambar: BleepingComputer