Dua kerentanan kritis pada runtime inti PHP sedang menjadi sorotan di seluruh industri. Setelah melakukan peninjauan menyeluruh, tim Keamanan Aplikasi OPSWAT memastikan bahwa tidak ada produk OPSWAT yang terpengaruh. Pelanggan tidak perlu mengambil tindakan apa pun.
Apa yang Terjadi
Pada tanggal 21 Oktober 2026, entri CVE (Common Vulnerabilities and Exposures) CVE-2026-109618 dan CVE-2026-109619 diterbitkan untuk interpreter PHP. Keduanya merupakan celah keamanan kritis jenis RCE (eksekusi kode jarak jauh). Pada CVE-2026-109618, PHP menghentikan permintaan setelah kehabisan memori, dan beberapa jalur kode dapat meninggalkan memori permintaan dalam keadaan tidak terinisialisasi selama proses pembersihan yang mengikuti. Penyerang dapat memanfaatkan hal ini untuk menjalankan kode dari jarak jauh tanpa otentikasi. Pada CVE-2026-109619, PHP menghentikan permintaan setelah terjadi kesalahan fatal, dan beberapa jalur kode dapat menyebabkan status internal tetap mengacu pada memori yang telah dibebaskan. Dalam kedua kasus tersebut, penyerang dapat memanfaatkan hal ini untuk menjalankan kode dari jarak jauh tanpa otentikasi.
OPSWAT Penilaian
Tim Keamanan Aplikasi OPSWAT telah meninjau komposisi perangkat lunak dari semua produk yang didukung, termasuk platform MetaDefender™, perangkat keras, layanan cloud, dan Portal OPSWAT™ My . Hasil peninjauan tersebut menunjukkan hal-hal berikut:
- Tidak ada satu pun produk OPSWAT yang menyertakan atau bergantung pada runtime PHP
- Tidak ada produk OPSWAT yang terpengaruh oleh kedua kerentanan tersebut
- Pelanggan tidak perlu melakukan apa pun
Daftar lengkap produk yang telah ditinjau tersedia dalam pemberitahuan keamanan berjudul “ OPSWAT ”.
Tetap Terkini
OPSWAT mengevaluasi kerentanan pihak ketiga di seluruh portofolionya begitu kerentanan tersebut diungkapkan, serta mempublikasikan hasilnya agar pelanggan dapat mengambil tindakan dengan penuh keyakinan.
Ada pertanyaan? Silakan hubungi kami di security.incident@opswat.com.
