PHP: stale internal request-state memungkinkan remote code execution

PHP memiliki berbagai global state yang sementara menunjuk ke request memory. Dalam beberapa skenario, global state mungkin tidak direset dengan benar, atau mungkin terisi kembali setelah direset. Global state tersebut kemudian dapat merujuk ke request memory bahkan setelah memori itu dibebaskan. Subsequent requests dapat membaca atau bercabang berdasarkan stale state ini sebelum sepenuhnya diinisialisasi. Beberapa strategi dapat memicu kondisi ini dan menghasilkan remote code execution (RCE).

Kerentanan ini memungkinkan penyerang tanpa autentikasi dari jaringan mengeksekusi kode pada sistem yang menjalankan PHP. Dampaknya dapat mencakup kompromi kerahasiaan, integritas, dan ketersediaan layanan, termasuk potensi penyalahgunaan lebih lanjut terhadap aplikasi dan data yang diproses layanan tersebut.

Karena statusnya dieksploitasi aktif, termasuk KEV, dan memiliki EPSS 0.99999, risiko paparan operasional meningkat signifikan. Jika server memproses data pribadi, insiden juga dapat memicu risiko kepatuhan dan kewajiban respons insiden yang lebih luas. Prioritaskan penanganan segera sesuai acuan CISA.

Akar masalah

Kerentanan ini berkaitan dengan kondisi use-after-free dan stale state pada global state PHP. Berdasarkan CWE yang tercantum, masalahnya selaras dengan CWE-416, CWE-755, CWE-824, dan CWE-1325. Global state yang semestinya sementara dapat tetap menunjuk ke request memory setelah memori itu dibebaskan.

Kondisi pemicu

Deskripsi menyebutkan bahwa beberapa strategi dapat memicu kondisi tersebut. Artinya, permukaan serangan ada pada alur pemrosesan request yang membuat state global dibaca atau digunakan sebelum inisialisasi selesai. Setelah kondisi itu tercapai, dampaknya dapat berujung pada remote code execution (RCE).

Makna metrik CVSS

• AV:N: celah dapat dipicu dari jaringan.
• AC:H: kondisi pemicunya tidak sederhana dan memerlukan pengaturan atau urutan keadaan tertentu.
• PR:N: tidak memerlukan hak akses awal.
• UI:N: tidak memerlukan interaksi pengguna.
• C:H / I:H / A:H: dampaknya tinggi terhadap kerahasiaan, integritas, dan ketersediaan.

1. Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
2. Perbarui ke versi aman yang tercantum pada data: php ≥ 5.4.0, < 8.2.35; php ≥ 8.3.0, < 8.3.36; php ≥ 8.4.0, < 8.4.27; php ≥ 8.5.0, < 8.5.12.
3. Jika pembaruan belum dapat diterapkan, batasi akses jaringan ke layanan PHP yang terdampak dan kurangi eksposur internet (perlu diverifikasi).
4. Nonaktifkan atau batasi fitur yang berkaitan dengan alur request yang memanfaatkan state global bila memungkinkan, sesuai arahan vendor (perlu diverifikasi).
5. Perketat hak akses dan pisahkan layanan yang memproses data sensitif untuk menekan dampak bila kompromi terjadi (perlu diverifikasi).
6. Jadikan 2026-10-29 sebagai tenggat prioritas penanganan karena statusnya ada dalam KEV.

1. Inventaris semua aset yang menjalankan PHP dan cocokkan versi terpasang dengan daftar versi terdampak.
2. Tinjau log aplikasi dan web server untuk pola request yang tidak biasa sebelum terjadinya perilaku anomali pada proses PHP.
3. Periksa anomali pada alur request yang menghasilkan crash, respons tidak konsisten, atau perilaku eksekusi yang tidak semestinya.
4. Korelasikan kejadian dengan penggunaan fitur atau jalur request yang berkaitan dengan global state pada aplikasi.
5. Pantau referensi resmi pada https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp serta referensi OSS Security yang tercantum untuk informasi lanjutan dan IoC bila tersedia.