Diterbitkan pada 21 Oktober 2026, advisory ini membahas dua vulnerability remote code execution (RCE) kritis di PHP, CVE-2026-109618 dan CVE-2026-109619. Vulnerability ini sudah bocor secara online sebelum disclosure terkoordinasi dan sebelum patch dirilis. Tim security PHP mengkategorikan kedua celah ini sebagai critical severity dengan rating CVSS v4.0 sebesar 9.2.

Metode attack yang pasti belum diketahui karena belum ada root cause teknis yang dipublikasikan. Namun, diketahui bahwa vulnerability ini bisa memungkinkan attacker untuk menjalankan perintah apapun (RCE) di server.

Versi yang terdampak dan yang sudah diperbaiki belum dikonfirmasi secara pasti. Namun, laporan menyebutkan PHP versi 5 sampai 8 kemungkinan terdampak.

Karena vulnerability ini berada di level core (inti) PHP, semua framework dan aplikasi PHP dipastikan terancam jika berjalan pada environment PHP yang terdampak. Celah keamanan ini tidak dapat diperbaiki melalui update versi framework atau modifikasi kode di level aplikasi, karena serangan mengeksploitasi runtime PHP secara langsung sebelum kode aplikasi dijalankan.

1. Inventarisasi semua instalasi PHP yang dimiliki, termasuk yang tersembunyi di dalam software vendor.
2. Siapkan rencana untuk patching (update binary/interpreter PHP di level server atau infrastruktur) segera setelah fix resmi dirilis.
3. Isolasi PHP yang sudah end-of-life (seperti PHP 5, 7, atau 8.0) dari internet publik, misalnya dengan menerapkan Web Application Firewall (WAF) yang ketat.
4. Pantau worker process di server (seperti php-fpm) untuk mendeteksi apabila ada aktivitas shell atau interpreter tidak terduga yang dieksekusi.