Black October : Sebulan Penuh Kabar Buruk buat Dunia Web

Oktober 2026 bakal lama diingat para admin server dan developer web. PHP, Laravel, WordPress, GitLab, sampai Windows, semuanya kena masalah serius dalam satu bulan.

Biasanya kabar soal celah keamanan datang satu-satu dan masih sempat ditangani. Bulan Oktober kemarin lain cerita. Dalam waktu sekitar dua minggu muncul beberapa celah kritis sekaligus. Beberapa di antaranya sudah dipakai menyerang sebelum patch-nya keluar. Karena itu banyak orang menyebut bulan ini "Black October".

Artikel ini merangkum apa saja yang terjadi, seberapa bahaya, dan apa yang perlu Anda lakukan sekarang.

1. PHP2Shell : Bom Waktu di Inti PHP

Ini masalah terbesar bulan ini. Celahnya ada di mesin PHP itu sendiri, bukan di framework atau plugin. Artinya hampir semua server yang menjalankan PHP ikut terdampak, entah pakai Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, atau LiteSpeed.

Apa masalahnya ?

Penyebabnya mirip pada keduanya. PHP terhenti di tengah proses, lalu belakangan memperlakukan data yang setengah jadi itu seolah-olah normal.

• CVE-2026-109618. Waktu PHP kehabisan memori (memory_limit terlampaui) saat memproses data request, ada struktur data yang sudah terhitung tapi belum terisi. Saat request selesai, PHP tetap "membersihkan" data yang belum valid itu. Celah inilah yang dimanfaatkan penyerang. Parahnya, ini terjadi sebelum kode aplikasi Anda jalan. Jadi login, middleware, atau validasi di aplikasi tidak bisa menahannya.
• CVE-2026-109619. Worker PHP memakai ulang sebagian "ingatan" dari request sebelumnya. Kalau request sebelumnya gagal di tengah jalan, request berikutnya bisa membaca memori yang sudah dibebaskan (use-after-free). Salah satu jalurnya lewat fitur session upload progress, yang aktif secara default walaupun aplikasi Anda tidak pernah memanggil session_start().

Dampaknya

Eksekusi kode jarak jauh tanpa login (unauthenticated RCE). Dengan kata lain, penyerang bisa menjalankan perintah di server Anda. AWS melaporkan percobaan serangan sudah terlihat sejak 17 Oktober, empat hari sebelum patch resmi keluar tanggal 21 Oktober.

Versi yang terdampak dan versi aman

Cara menangani

1. Update PHP sekarang juga. Dahulukan server yang terbuka ke internet.
2. Restart semua worker (PHP-FPM, Apache, Octane, dll.). Kalau pakai container, build ulang image-nya. Update tanpa restart sama saja belum update.
3. Masih di PHP 8.1 ke bawah ? CISA menyarankan matikan dulu sistemnya sampai di-upgrade.
4. Mitigasi sementara kalau benar-benar belum bisa patch. Ini sifatnya cuma menambal, bukan solusi :
   • session.upload_progress.enabled = 0 (untuk CVE-2026-109619).
   • Khusus PHP 8.5: fatal_error_backtraces = 0
   • Batasi ukuran body request di reverse proxy atau WAF.
   • Pasang WAF di depan aplikasi.
5. Cek tanda-tanda sudah dibobol:
   • Error "memory exhausted" dengan lokasi Unknown on line 0
   • Worker Apache atau PHP-FPM yang sering segfault
   • Cookie PHPSESSID yang isinya aneh, panjang, atau biner
   • Proses web server yang menjalankan shell (sh, bash, curl, wget). Ini tanda paling kuat.

Bonus : CVE-2026-115560, yang ketiga

Dua hari setelah patch darurat, tanggal 23 Oktober, PHP mengumumkan satu lagi celah RCE yang belum ada patch-nya. Untungnya, celah ini hanya kena ke aplikasi dengan konfigurasi tidak biasa, yaitu yang mengganti session.serialize_handler ke php saat runtime sebelum session_start(). Mitigasinya sama: session.upload_progress.enabled = 0. Kalau Anda sudah memasang mitigasi di atas, Anda juga sudah tertutup untuk yang ini.

2. Laravel : Bisa Login Tanpa Token

Seminggu yang sama dengan PHP2Shell, Laravel juga merilis dua advisory.

CVE-2026-114509 : TokenGuard Auth Bypass

Kalau aplikasi Anda memakai guard dengan 'driver' => 'token' di config/auth.php dan database-nya MySQL atau MariaDB, penyerang bisa mengirim request khusus yang membuat pencarian token cocok dengan user lain tanpa token yang benar.

Dampaknya : akun diambil alih tanpa login. Kalau yang kena akun admin, ya sudah, tamat.

CVE-2026-114508 : Data Hilang dari Endpoint Read-Only

Pada endpoint yang membolehkan klien memilih relasi mana yang ikut dimuat (relationship inclusion), request yang dirakit khusus bisa memicu operasi hapus di tabel relasi, padahal user-nya cuma punya akses baca. Akibatnya data bisa hilang atau layanan terganggu.

Versi aman

Uniknya, perbaikannya sebenarnya sudah masuk rilis 25 Agustus 2026, tapi tidak diberi label "security". Jadi kalau Anda rajin composer update, kemungkinan Anda sudah aman tanpa sadar.

Cara menangani

composer update laravel/framework
php artisan --version          # pastikan 12.68.0+ atau 13.29.0+
php artisan optimize:clear
php artisan queue:restart      # dan restart Octane kalau dipakai

• Tidak ada workaround resmi. Satu-satunya jalan adalah update.
• Periksa log autentikasi API untuk aktivitas aneh. Kalau ada yang mencurigakan, rotasi token akun-akun penting.
• Ingat, update PHP juga. Laravel aman tapi PHP-nya bolong ya percuma. Laravel Forge pun tidak meng-update PHP secara otomatis.

3. WordPress : Core dan Plugin Sama-sama Kena

WordPress Core: CVE-2026-119977

Celah di updater bawaan WordPress yang sudah dieksploitasi. Patch-nya ada di WordPress 7.1.4, rilis 28 Oktober 2026. CISA memasukkannya ke KEV tanggal 3 November.

Tindakan : pastikan WordPress Anda sudah di versi 7.1.4 atau lebih baru.

Plugin

• Bricksforge (CVE-2026-85097) : upload file dan eksekusi kode tanpa login. Serangan sudah terpantau sejak 7 Oktober. Aman di versi 3.1.8.10 ke atas.
• CryptoPayment Gateway (CVE-2026-81648) : penyerang tanpa login bisa mengakses pengaturan payment gateway. CVSS 10.0, dan sudah ada laporan percobaan eksploitasi.
• User Profile Builder (CVE-2026-15826) : bisa dipakai mengambil alih akun admin. Terdampak versi 3.16.4 ke bawah.

Satu rangkuman mencatat ada 117 CVE plugin WordPress dengan skor 9.0 ke atas sepanjang Oktober saja, dan hampir semuanya bisa dieksploitasi tanpa login.

Tindakan : update core dan semua plugin, hapus plugin yang tidak dipakai, dan jangan lupa PHP-nya. WordPress juga berjalan di atas PHP, jadi ikut kena PHP2Shell.

4. GitLab : Skor Sempurna, dalam Arti Buruk

Celahnya berupa integer overflow di mesin regex Ruby (Onigmo) saat GitLab memproses file konfigurasi CI/CD. Penyerang tanpa login bisa menjalankan kode di server GitLab self-managed, terutama kalau registrasi mandiri dan project publik diizinkan.

Kalau server GitLab jebol, yang bocor bukan cuma source code. Secret pipeline, kredensial deploy, dan kunci server juga ikut bocor. Alpine Linux sampai harus membangun ulang server GitLab publik mereka dan me-reset semua password serta secret.

Versi aman : 19.2.8, 19.3.5, 19.4.2 (rilis 12 Oktober). Ada juga celah CVSS 10.0 lain, CVE-2026-110264, yang diperbaiki di 19.2.9, 19.3.6, dan 19.4.3. Jadi langsung ambil versi terbaru saja.

Tambahan : kalau Anda memakai build Ruby sendiri, pastikan Ruby-nya minimal 3.3.13, 3.4.12, atau 4.0.9. Kalau GitLab Anda sempat terbuka dan belum di-patch setelah 12 Oktober, rotasi semua secret.

5. Microsoft Patch Tuesday : Jumlah Patch-nya Tidak Masuk Akal

Patch Tuesday Oktober 2026 berisi lebih dari 1.400 CVE. Ada sumber yang bahkan menyebut sampai 1.771, tergantung cara menghitungnya. Itu angka yang luar biasa besar. Salah satunya zero-day yang sudah dieksploitasi, yaitu CVE-2026-96951, bypass Mark of the Web di Windows Shell. Akibatnya file berbahaya dari internet bisa lolos tanpa peringatan keamanan.

Tindakan : jalankan Windows Update di semua PC dan server. Jangan ditunda.

Kenapa Bisa Sebanyak Ini ?

Ada beberapa faktor yang ikut berperan :

• Riset keamanan yang dibantu AI makin cepat. Celah lama yang terkubur bertahun-tahun sekarang lebih gampang ketemu. Contohnya PHP2Shell, yang menyerang versi sejak PHP 5.4.
• Jeda antara patch dan eksploit makin pendek. Bahkan ada yang dieksploitasi sebelum patch keluar.
• Satu komponen dipakai di mana-mana. Begitu PHP bolong, Laravel, WordPress, CodeIgniter, dan aplikasi buatan sendiri ikut kena semua.

Checklist Cepat : Apa yang Harus Dilakukan Sekarang

• Inventarisasi semua server yang menjalankan PHP, termasuk yang "numpang" di aplikasi lain.
• Update PHP ke 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, lalu restart semua worker.
• Pasang session.upload_progress.enabled = 0 sebagai lapisan tambahan.
• Update Laravel ke 12.68.0+ atau 13.29.0+, dan rencanakan upgrade kalau masih di Laravel 11.
• Update WordPress ke 7.1.4+ dan semua plugin.
• Update GitLab self-managed ke versi terbaru.
• Jalankan Windows Update.
• Cek log : proses web server yang menjalankan shell, worker yang sering crash, error memori aneh.
• Kalau ada indikasi kebobolan, anggap server sudah disusupi : isolasi, bangun ulang, dan rotasi semua password, token, dan secret.
• Pertimbangkan pasang WAF di depan aplikasi publik

Penutup

Black October mengingatkan bahwa keamanan bukan urusan sekali pasang lalu ditinggal. Aplikasi yang hari ini aman bisa bolong besok pagi, bukan karena kode Anda salah, tapi karena fondasi di bawahnya ternyata retak.

Kuncinya sederhana walaupun kadang malas dijalani : rajin update, rajin cek log, dan punya daftar aset yang jelas. Jangan sampai November ikut jadi bulan kelabu.

Referensi

• CISA – Critical Vulnerabilities in PHP Require Immediate Patching
• CISA – Adds Two Known Exploited Vulnerabilities to Catalog (26 Okt 2026)
• Datadog Security Labs – PHP2Shell
• Rapid7 – CVE-2026-109618 dan CVE-2026-109619
• The Hacker News – PHP Emergency Patches
• BleepingComputer – Mitigasi CVE-2026-115560
• Laravel Forge – PHP Security Release Oktober 2026
• Qadrlabs – Laravel CVE-2026-114509 dan CVE-2026-114508
• Tech Insider – GitLab CVE-2026-97229
• Tech Insider – WordPress CVE-2026-119977
• SecurityWeek – Bricksforge Exploited
• SecurityOnline – October 2026 Patch Tuesday