PHP: memory corruption memungkinkan remote code execution tanpa autentikasi

PHP menggunakan longjmp() untuk error out-of-memory (OOM) agar keluar dari konteks saat ini dan membatalkan penanganan request. Beberapa konteks mungkin tidak memperhitungkan skenario ini dengan benar dan membiarkan memory request dalam keadaan tidak terinisialisasi sebelum melakukan allocation. Prosedur cleanup request berikutnya dapat membaca atau melakukan branch terhadap memory ini. Beberapa strategi OOM dapat secara konsisten memicu kondisi ini dan menyebabkan remote code execution (RCE).

Kerentanan ini memungkinkan penyerang tanpa autentikasi dari jaringan untuk mengambil alih eksekusi pada layanan yang terdampak. Dampaknya mencakup kompromi kerahasiaan, integritas, dan ketersediaan, karena proses PHP dapat dijalankan dengan kode yang tidak semestinya. Jika layanan memproses data pribadi, risiko kepatuhan juga meningkat.

Status CVSS menunjukkan AV:N, AC:H, PR:N, dan UI:N. Artinya, serangan dapat dilakukan dari jarak jauh tanpa kredensial dan tanpa interaksi pengguna, meski ada tingkat kesulitan tertentu. Nilai CVSS 9.2, EPSS 0.99999, status KEV ya, dan eksploitasi aktif menunjukkan prioritas penanganan sangat tinggi. Dalam lingkungan yang terdampak, penyerang juga dapat memanfaatkan akses awal untuk pergerakan lateral dan eskalasi dampak operasional. Segera prioritaskan patch dan pembatasan paparan layanan.

Akar masalah

Kerentanan ini berkaitan dengan memory corruption. Deskripsi sumber menyebut beberapa konteks tidak menangani alur OOM dengan benar. Akibatnya, memory request dapat tertinggal dalam keadaan tidak terinisialisasi sebelum allocation berikutnya.

Mengapa kondisi ini berbahaya

Saat prosedur cleanup request membaca atau melakukan branch pada memory yang tidak terinisialisasi, perilaku program dapat menyimpang. Kombinasi kondisi tersebut dapat dipicu secara konsisten oleh beberapa strategi OOM dan berujung pada remote code execution (RCE).

Arti metrik CVSS utama

• AV:N: serangan dapat dilakukan melalui jaringan.
• AC:H: penyerang memerlukan kondisi yang lebih spesifik untuk memicu celah.
• PR:N: tidak diperlukan hak akses sebelumnya.
• UI:N: tidak diperlukan interaksi pengguna.

Implikasi teknis

CWE yang tercantum mencerminkan masalah pada pengelolaan memory dan validasi alur eksekusi. Karena kondisi dipicu pada penanganan error OOM, tim perlu memeriksa jalur request yang berkaitan dengan allocation, cleanup, dan konteks eksekusi PHP yang digunakan aplikasi.

1. Ikuti rekomendasi CISA: terapkan mitigasi sesuai instruksi vendor, pastikan kepatuhan terhadap panduan CISA BOD 26-04 Prioritizing Security Updates Based on Risk, dan CISA Forensics Triage Requirements. Ikuti panduan BOD 26-04 yang berlaku untuk cloud services atau hentikan penggunaan product jika mitigasi tidak tersedia. Stakeholder bertanggung jawab menilai paparan internet setiap asset dan memastikan kepatuhan terhadap panduan patching BOD 26-04.
2. Perbarui PHP ke versi aman yang tercantum pada data: 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
3. Jika patch belum dapat diterapkan, batasi akses jaringan ke service yang menjalankan PHP dan kurangi paparan internet pada asset terkait (perlu diverifikasi).
4. Tinjau dan nonaktifkan sementara fitur atau jalur request yang paling berkaitan dengan penanganan memory allocation dan cleanup bila tidak diperlukan (perlu diverifikasi).
5. Perketat hak akses pada host dan application runtime untuk membatasi dampak jika terjadi kompromi (perlu diverifikasi).
6. Karena CISA menetapkan due date 2026-10-29, jadikan perbaikan ini prioritas sangat tinggi pada asset yang terdampak.

1. Inventaris semua asset yang menjalankan PHP dan verifikasi versi terpasang terhadap versi terdampak: php ≥ 7.3.0, < 8.2.35; php ≥ 8.3.0, < 8.3.36; php ≥ 8.4.0, < 8.4.27; php ≥ 8.5.0, < 8.5.12.
2. Tinjau log aplikasi dan web server untuk anomali yang sesuai dengan kegagalan request, crash, restart mendadak, atau perilaku tidak wajar pada alur cleanup memory.
3. Periksa event yang menunjukkan kondisi OOM berulang pada layanan PHP, terutama pada workload yang menangani traffic tinggi atau request yang kompleks.
4. Cari indikasi aktivitas yang selaras dengan RCE, seperti perubahan perilaku proses, eksekusi yang tidak semestinya, atau koneksi keluar yang tidak biasa dari host yang menjalankan PHP (perlu diverifikasi).
5. Gunakan referensi resmi untuk pembaruan informasi dan IoC bila tersedia melalui tautan vendor dan CISA pada data sumber.