Pemberitahuan Informasi Keamanan Mendesak: PHP, Node.js, dan Go

(Minghui.org) Selama sepekan terakhir, kerentanan keamanan utama telah dilaporkan pada PHP, Node.js, dan Go. Administrator yang mengelola server dengan teknologi ini—termasuk sistem manajemen konten populer seperti WordPress harus segera mengambil tindakan untuk melindungi layanan mereka dari potensi eksploitasi.

Sejak tanggal 21 Oktober, berbagai lembaga keamanan siber global serta saluran resmi untuk PHP dan Node.js telah mengeluarkan buletin keamanan kritis terkait kerentanan yang memungkinkan penyerang melakukan eksekusi kode jarak jauh (RCE) atau serangan penolakan layanan (DoS).

Karena kerentanan ini terdapat pada runtime bahasa pemrograman atau pustaka bawaannya, sekadar memperbarui aplikasi front-end seperti plugin WordPress atau paket npm tidak akan cukup untuk melindungi server, runtime bahasa pemrograman itu sendiri harus diperbarui.

Kerentanan pada Teknologi Utama (Technology Stacks)

1) PHP (Kerentanan “PHP2Shell”)

- Kerentanan eksekusi kode jarak jauh (RCE): CVE-2026-109618, CVE-2026-109619 (skor CVSS 9.2; risiko kritis)
- Ringkasan: Terdapat cacat dalam pengelolaan memori dasar dan penanganan status global. Ketika terjadi kesalahan (OOM), hal ini dapat menyebabkan kerusakan memori atau penggunaan status lama oleh permintaan berikutnya yang ditangani oleh hal yang sama.

Dampak cakupan: Semua situs web PHP dan server yang belum diperbarui. Penyerang dapat melancarkan serangan tanpa memerlukan kredensial atau hak akses apa pun.

2) Node.js

Kerentanan pada dekoder Brotli dan keamanan jaringan mencakup CVE-2026-111497 (Brotli memory out-of-bounds write) serta sejumlah kerentanan autentikasi TLS/DNS.

- Ringkasan: Dekoder data terkompresi Brotli bawaan memiliki cacat penulisan memori di luar batas selain itu, terdapat risiko bypass terhadap verifikasi kredensial dan nama host.
- Dampak cakupan: Penanganan data terkompresi Brotli yang tidak tepercaya, koneksi jaringan eksternal, dan layanan Node.js untuk server proksi.

3) Bahasa Pemrograman Go dan Kerangka Kerja (Framework) Terkait

- Tambalan keamanan telah dirilis untuk protokol jaringan, pustaka standar, dan kerangka kerja open-source utama yang relevan, seperti proksi HTTP dan network management interfaces.
- Dampak cakupan: Layanan berbasis cloud-native yang menggunakan atau bergantung pada modul Go versi tertentu.

Tindakan Mendesak bagi Administrator Server

Pemeriksaan dependensi paket tradisional (seperti pemindaian file `package.json` atau `composer.json`) tidak dapat mendeteksi kerentanan pada lingkungan runtime. Administrator perlu memeriksa versi runtime yang berjalan di server dan/atau kontainer.

Versi runtime bahasa pemrograman yang sudah mencapai end-of-life seperti PHP di bawah versi 8.2 atau Node.js di bawah versi 20, tidak akan lagi menerima tambalan resmi. Aplikasi yang berjalan pada versi yang sudah tidak didukung ini harus segera diupgrade ke versi yang didukung dan telah ditambal, atau diisolasi dari internet.

Jika sumber daya terbatas, administrator server dapat mengikuti langkah-langkah berikut secara berurutan:

1) Inventarisasi Aset Cepat (Pemeriksaan Versi)

Masuk ke setiap server atau kontainer, lalu pastikan apakah versi runtime bahasa pemrograman yang digunakan termasuk yang terdampak.

- Untuk PHP, periksa apakah versi yang berjalan lebih lama daripada versi yang telah ditambal (lihat daftar di bawah). Catatan: Beberapa distribusi Linux melakukan backport, sehingga versi yang lebih lama dari 8.2 mungkin saja tetap menerima tambalan. Periksa pengumuman resmi atau log paket dari distribusi Linux yang Anda gunakan.
- Untuk Node.js, periksa apakah Anda menggunakan versi 22.x, 24.x, atau 26.x yang terdampak.

2) Segera Tingkatkan ke Versi yang Telah Diperbaiki (Patched Version)

Tingkatkan lingkungan Anda ke versi yang telah diperbaiki (seperti yang tercantum di bawah ini) dan mulai ulang proses layanan (misalnya PHP-FPM atau aplikasi Node) untuk membersihkan sisa memori:

- Versi PHP yang telah diperbaiki:

Seri PHP 8.5: tingkatkan ke 8.5.12 (atau versi yang lebih baru)
Seri PHP 8.4: tingkatkan ke 8.4.27 (atau versi yang lebih baru)
Seri PHP 8.3: tingkatkan ke 8.3.36 (atau versi yang lebih baru)
Seri PHP 8.2: tingkatkan ke 8.2.35 (atau versi yang lebih baru)

-Versi Node.js yang telah diperbaiki:

Node.js 22.x: tingkatkan ke 22.23.4 (atau versi yang lebih baru)
Node.js 24.x: tingkatkan ke 24.22.1 (atau versi yang lebih baru)
Node.js 26.x: tingkatkan ke 26.12.1 (atau versi yang lebih baru)

Catatan: Dukungan untuk Node.js 20 dan versi sebelumnya telah berakhir. Anda harus segera beralih ke versi yang masih didukung.

3) Bangun Ulang Kontainer dan Image

Jika Anda menggunakan Docker atau kontainer berbasis cloud lainnya, sekadar mengubah tag tidaklah cukup, image harus dibangun ulang untuk memastikan runtime yang mendasarinya telah diperbarui dan layanan diterapkan kembali.

Periksa firewall aplikasi web (WAF) atau load balancer Anda untuk memastikan bahwa aturan perlindungan terhadap lalu lintas POST yang tidak wajar serta paket terkompresi yang berbahaya telah diaktifkan.

Informasi di atas hanyalah gambaran umum. Dalam kasus tertentu, staf teknis harus segera mengidentifikasi dan menghilangkan risiko sesuai dengan lingkungan masing-masing guna menjaga keamanan informasi.