PHP zero-day

[Husna QA]

Ya, akhirnya Bitcointalk kembali bisa diakses setelah beberapa jam yang lalu memunculkan page 503 yang berisi informasi kalau forum sedang maintenance.
Penyebab maintenance tersebut jarang-jarang terjadi:



Berikut ini beberapa informasi terkait isu PHP yang saya kutip dari beberapa website lain:

- https://www.bbc.com/news/articles/cmly0lg3w5x2o

Websites taken down worldwide as critical cyber-security update issued

International governments and agencies have urged websites to address two critical cyber-security flaws in a programming language which powers much of the internet.

The vulnerabilities were found within the PHP programming language, with a fix issued on Wednesday afternoon.

Multiple cyber-security agencies have urged organisations unable to apply fixes in time to consider taking their sites down, leaving bodies such as the Finnish government, Edinburgh council and the BBC to take pages offline.

The flaws were discovered by AI, with cyber-security firm Wiz saying they were the "most severe vulnerabilities ever discovered" by the tech, which is reshaping the cyber landscape.

—snip—

- https://www.reuters.com/world/asia-pacific/eu-agency-warns-websites-may-need-be-taken-offline-php-prepares-patches-2026-10-21/

Government websites go dark after AI-discovered flaw sparks security scramble

Summary

• Dutch, French, Danish, and Finnish governments yank sites offline as hackers exploit weaknesses
• European and Asian cyber agencies urge users to update or take sites down immediately
• PHP developers say fix is now live, prompting scramble to update sites across the web
• Cyber company Wiz says it discovered flaw using tools from Google and OpenAI

- https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php

Critical security issue affecting PHP

What has happened?

PHP has published a security update to address a critical security issue that may allow attackers to execute commands on any web server running PHP.

PHP (PHP Hypertext Preprocessor) is a widely used server-side scripting language designed for web development. It runs on a web server to generate dynamic page content, interact with databases, and handle backend application logic before delivering the final HTML output to a user's browser. PHP is also used in a range of other products.

The security issue could allow an attacker to trigger an out-of-memory (OOM) condition in PHP that results in memory corruption. Under certain conditions, this corruption could be exploited to achieve unauthenticated remote code execution. This security issue has now been fixed.

• CVE-2026-109618: Out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.
• CVE-2026-109619: Request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.

Saya belum tahu persis seberapa parah akibat yang terjadi pada website yang terdampak langsung dari isu keamanan PHP ini (semisal karena telat update atau lainnya).

[mu_enrico]

Setau ane karena ane juga pengguna PHP untuk website2 ane.
Ini keparahan nilainya 9,2/10 jadi emang parah banget karena penyerang bisa mengambil alih server, dampaknya mirip kek pengendalian di remote pc di windows.
Tapi server shared hosting ane down tidak lama, setelah patch langsung nyala lagi. Cloudflare dkk juga sudah mengamankan secara otomatis, sehingga praktis serangan sesudah disclosure dan cloud dns/firewall membuat pengamanan ya jauh berkurang risikonya.

Yang ane pahami tindakan maintenis bertujuan untuk preventif audit kode yang ada, apakah ada indikasi sudah disusupi atau belum. Ini merupakan SOP yang sangat baik dari Bitcointalk karena bisa saja serangan sudah terjadi jauh sebelum disclosure.

Ane sebetulnya sudah ada feeling sistem yang permukaan serangannya besar bakal lebih mudah diserang di era AI, misal PHP vs static, tentu PHP lebih rentan. Sudah dalam proses migrasi static build pakai node.js tapi belum selesai karena rebuild ratusan laman.

[atookz]

Saya belum tahu persis seberapa parah akibat yang terjadi pada website yang terdampak langsung dari isu keamanan PHP ini (semisal karena telat update atau lainnya).

Sebelumnya terimakasih agan @Husna QA untuk infonya, jujur baru kali ini saya ngerasain maintenance kayak gini, sebelumnya pernah nggak yaa gan? Soalnya pas buka bitcointalk tapi nggak bisa cukup panik juga gan  

Saya jadi penasaran, forum ini kan berjala di SMF yang berbasis PHP, jadi mungkin wajar yaa kalau kena imbas dan sempet maintenance. Kira2 udah ada kabar belum gan di group ini apakah ada indikasi eksploitasi sebelum patch rilis? Barangkali ada himbauan ke member buat ganti password mungkin atau cek lainnya gan, atau mungkin masih aman terkendali...

sistem yang permukaan serangannya besar bakal lebih mudah diserang di era AI, misal PHP vs static, tentu PHP lebih rentan.

Setuju gan soal permukaan serangan. Static build emang menghilangkan eksekusi kode di server, jadi nggak relevancelah kayak gini.
Soal cloudflare dkk, bener sihh bisa jadi  kayak virtual patch. Tapi buat celah yang kepicu lewat out of memory, saya belum yakin WAF bisa nutup semua pola requestnya.

[Chikito]

Kalau saya melihat di sosmed-sosmed, masalah PHP ini tidak hanya forum ini, tapi juga di global, namun saya agak heran karena altcointalk tetap online kemaren?, apa mereka sudah update sebelumnya.

Btw, Bahkan di jepang, PM nya sendiri kasih warning [1] ke semua rakyatnya jika website yang dipakai menggunakan PHP, maka harus segera update. Terutama bank, karena hampir 70% situs dunia ini menggunakan PHP. tentunya akan sangat terpengaruh terhadap data usernya.

beberapa situs di jepang yang cukup vital seperti ANA, Bank MUFG, kereta listrik, JR, dll mengalami dampak ini [2], selain itu beberapa situs selain di negara jepang, misal di eropa juga banyak yang terkena dampak, sehingga masalah PHP ini tidak hanya di forum ini saja, tapi memang secara global.



[1]. https://x.com/takaichi_sanae/status/2112890642590564386
[2]. https://tirto.id/website-sedunia-geger-ditemukan-celah-keamanan-di-php-ada-bug-apa-hEbc

[Husna QA]

Saya belum tahu persis seberapa parah akibat yang terjadi pada website yang terdampak langsung dari isu keamanan PHP ini (semisal karena telat update atau lainnya).

—snip—
Saya jadi penasaran, forum ini kan berjala di SMF yang berbasis PHP, jadi mungkin wajar yaa kalau kena imbas dan sempet maintenance. Kira2 udah ada kabar belum gan di group ini apakah ada indikasi eksploitasi sebelum patch rilis? Barangkali ada himbauan ke member buat ganti password mungkin atau cek lainnya gan, atau mungkin masih aman terkendali...
—snip—

Kemarin theymos sudah memberikan pernyataan terkait isu php2shell yang menyebabkan Bitcointalk sempat di maintenance beberapa jam dan proses apa saja yang dijalankan untuk meminimalisir dampak dari isu keamanan tersebut. Detail keterangannya bisa dilihat pada quote berikut ini:

A couple of very serious PHP vulnerabilities were published with very little advance notice. Bitcointalk.org runs on PHP. Unfortunately, I wasn't in a position to react to the announcement quite in time, so the forum wasn't shut down until around 14:30 UTC, 30 minutes after the public announcement of the vulnerability details, and about 7 hours after some details had begun to leak.

Therefore, after upgrading PHP, I spent a lot of time investigating things to see if there were any traces of any successful attacks, but I couldn't find any. Several attacks were attempted, but those particular attacks were blocked by Cloudflare, and also would've failed anyway due to certain configuration details. Also, there were no logs of php-fpm processes crashing, or of a large number of POSTs in quick succession in the vulnerable window -- either/both of which I think would've been seen in a successful attack. I also checked a large number of other things, including checking some sensitive database tables for changes, checking aggregate network stats, checking various possible ways that backdoor-insertion could've been attempted, etc.; but there were no such traces that I could find. That said, there simply isn't comprehensive enough logging to completely exclude the possibility of a successful attack that I wasn't subsequently able to detect.

Probably, no action is required for most people. If you want to be extra safe, it wouldn't hurt to change your password (mainly just to invalidate all of your sessions).

Tidak ada salahnya juga jika ingin keamanan ekstra agar mengganti password sebagaimana disiratkan pada kalimat terakhir admin pada quote diatas.

[ryzaadit]

-snip-

Kemarin theymos sudah memberikan pernyataan terkait isu php2shell yang menyebabkan Bitcointalk sempat di maintenance beberapa jam dan proses apa saja yang dijalankan untuk meminimalisir dampak dari isu keamanan tersebut. Detail keterangannya bisa dilihat pada quote berikut ini:

-snip-

Tidak ada salahnya juga jika ingin keamanan ekstra agar mengganti password sebagaimana disiratkan pada kalimat terakhir admin pada quote diatas.

Just FYI, walau Bitcointalk tidak ada kasus. Tetap untuk member-member lain yang memang ada potensi menggunakan password yang sama dengan website lain, tidak hanya untuk Bitcointalk tapi website-website penting yang berkaitan dengan Financial/Investasi untuk segera mengubah password. Bisa aja di masa lampau, agan-agan semua daftar ke website yang memang memiliki proteksi yang rendah atau yang sudah tidak terurus. Untuk menghindari breach yang diakibatkan dari website lain yang agan pakai dimasa lampau.

Sangat disarankan untuk mengubah hal-hal yang berkaitan dengan informasi sensitif yang digunakan sebagai kredensial. Seperti:

• Password
• Hewan, atau hal-hal favorit yang dijadikan sebagai kunci password
• Nama orang tua
• Dll

Hal ini biar menghindari agan kena breach gara-gara website yang pernah agan pakai tapi sudah tidak diurus di masa lampau untuk website-website yang agan pakai saat ini (walau website yang kita pakai sudah aman, tidak ada kasus) bisa aja gara website lama yang kita pakai dulu.

Contoh krendensial lain di Bitcointalk yaitu Secret Question. Sapa tau agan-agan pernah seting ini di akun Bitcointalk agan, walau Staff sudah melakukan setting untuk "Lock" akun yang menggunakan Secret Question untuk mengakses Bitcointalk: https://bitcointalk.org/index.php?topic=1206977.msg12670918#msg12670918

Semoga tidak ada kasus untuk kita-kita semua.

[taufik123]

Baru bisa nimbrung di thread ini karena kemarin emang lagi KO
Pas kejadian Downtime mau komen tengah malem emang gak bisa dan muncul "Down for maintenance, be back soon (503  via master1)", ya lanjut tidur.

Siangnya sekitar jam 11 lebih, sudah bisa di akses dan mau buat thread dan ternyata Theardnya sama dengan om Husna QA dan saya juga gak sadar waktu itu (tapi sudah di lock sama mod)

Sangat disarankan untuk mengubah hal-hal yang berkaitan dengan informasi sensitif yang digunakan sebagai kredensial. Seperti:

• Password
• Hewan, atau hal-hal favorit yang dijadikan sebagai kunci password
• Nama orang tua
• Dll

Hal ini biar menghindari agan kena breach gara-gara website yang pernah agan pakai tapi sudah tidak diurus di masa lampau untuk website-website yang agan pakai saat ini (walau website yang kita pakai sudah aman, tidak ada kasus) bisa aja gara website lama yang kita pakai dulu.

Emang gak ada salahnya sih ganti Password yang baru dan bener-bener baru untuk menghindari kejadian yang gak di iginkan.
Apalagi serangan PHP zero-day ini menyerang angsung ke Privacy dan data-data penting, karena Data-darta kita sendiri lewat pemerintah juga udah bocor dan akun, email password dll yang sama udah banyak dijual.

Contoh krendensial lain di Bitcointalk yaitu Secret Question. Sapa tau agan-agan pernah seting ini di akun Bitcointalk agan, walau Staff sudah melakukan setting untuk "Lock" akun yang menggunakan Secret Question untuk mengakses Bitcointalk: https://bitcointalk.org/index.php?topic=1206977.msg12670918#msg12670918

Dulu pernah gara-gara Secret Question ini akun saya di lock, tapi bisa di unlock lagi lewat email ke staff yang menangani Secret Question .
dan intinya semua harus waspada dan aware terhadap keamanan sendiri, meskipun ada keretanan pada PHP secara global dan tidak berefek pada akun kita sekarang, Mengganti password atau PIN dll juga di perlukan.

[MArsland]

Contoh krendensial lain di Bitcointalk yaitu Secret Question. Sapa tau agan-agan pernah seting ini di akun Bitcointalk agan, walau Staff sudah melakukan setting untuk "Lock" akun yang menggunakan Secret Question untuk mengakses Bitcointalk: https://bitcointalk.org/index.php?topic=1206977.msg12670918#msg12670918

Semoga tidak ada kasus untuk kita-kita semua.

Pas baca ini jadi keinget soal Secret Question, lupa antara pake dan tidak.

Kalau untuk website2 lain kebanyakan ane pribadi emang suka pakai kata sandi yang sama biar gak ribet, tapi khusus untuk btt dibedakan, tetep aja setelah ada kejadian 503 kayaknya emang perlu diganti. Cuman kalau udah tua meski di catet offline pun suka kelupaan naronya.

[Husna QA]

Contoh krendensial lain di Bitcointalk yaitu Secret Question. Sapa tau agan-agan pernah seting ini di akun Bitcointalk agan, walau Staff sudah melakukan setting untuk "Lock" akun yang menggunakan Secret Question untuk mengakses Bitcointalk: https://bitcointalk.org/index.php?topic=1206977.msg12670918#msg12670918

Semoga tidak ada kasus untuk kita-kita semua.

Pas baca ini jadi keinget soal Secret Question, lupa antara pake dan tidak.

Kalau untuk website2 lain kebanyakan ane pribadi emang suka pakai kata sandi yang sama biar gak ribet, tapi khusus untuk btt dibedakan, tetep aja setelah ada kejadian 503 kayaknya emang perlu diganti. Cuman kalau udah tua meski di catet offline pun suka kelupaan naronya.

Dulu Saya juga pernah coba-coba menggunakan 'Secret Question'. Saya lupa apakah waktu itu sudah dinon-aktifkan kembali atau belum. Namun, jika melihat di profil akun sudah blank, dan ketika mengaktifkan 2FA seingat saya juga sudah dikosongkan.

Di keterangan yang tertera pada opsi 'Secret Question' juga sebenarnya sudah ada keterangan singkat yang menjelaskan kalau fitur tersebut tidak direkomendasikan.



Dan sekarang, menggunakan Secret Question untuk recovery, otomatis akan di lock akunnya dan diminta Sign message menggunakan Bitcoin Address yang sebelumnya sudah pernah diposting akun tersebut.