Rangkuman Keamanan Siber Oktober 2026: PHP2Shell, Gelombang Zero-Day VPN, dan VPS yang Dibobol

Oktober 2026 adalah bulan tersibuk tahun ini. Hampir semua merek VPN dan firewall besar menerima zero-day yang dieksploitasi, Microsoft memecahkan rekor Patch Tuesday lagi, dan PHP, bahasa yang menjalankan sebagian besar situs web dan panel hosting, mendapat patch darurat. Di Asia, sebuah layanan VPS di Jepang dibobol, dan di Indonesia, data jutaan pelanggan Fore Coffee terekspos.

Berikut ringkasan yang paling relevan untuk bisnis dan pengelola server di Indonesia.

Prioritas bulan ini

Produk	Celah	Status	Tindakan
PHP	CVE-2026-109618, CVE-2026-109619	Dieksploitasi, eksekusi kode tanpa login	Update ke 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
Linux kernel	CVE-2026-46300	Dirantai dengan PHP2Shell untuk mendapat root	Update kernel dan reboot
Windows	CVE-2026-96951	Zero-day dieksploitasi	Pasang update Oktober
Ivanti Connect Secure	CVE-2026-104935	Zero-day, perangkat yang sudah di-patch tetap dibobol	Update darurat dan cari tanda kompromi
Palo Alto PAN-OS	CVE-2026-0322	Dieksploitasi	Update, batasi antarmuka manajemen
Fortinet FortiOS	CVE-2025-61624	Dieksploitasi bersama implant PEERSTITCH	Update sesuai FG-IR-26-122
Cisco ASA/FTD	CVE-2026-76418	Zero-day, firewall dibuat reboot	Update

PHP2Shell: patch darurat untuk hampir semua server PHP

Pada 21 Oktober, PHP merilis patch darurat untuk dua celah eksekusi kode jarak jauh tanpa login yang diberi nama PHP2Shell:

• CVE-2026-109618: kerusakan memori saat kehabisan memori, berujung eksekusi kode sebagai akun web server.
• CVE-2026-109619: state global basi yang memicu use-after-free, kebocoran memori, dan eksekusi kode.

Semua PHP yang melayani permintaan web terdampak: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko tertinggi ada di mod_php, karena serangan bisa terjadi sebelum kode aplikasi berjalan. Kedua celah dinilai CVSS v4 9,2.

Perkembangan terbaru (per 1 November):

• 17 Oktober, empat hari sebelum patch, Amazon sudah melihat percobaan eksploitasi di honeypot-nya. Amazon kini melaporkan percobaan eksploitasi yang meluas.
• 24 Oktober, peneliti melaporkan honeypot dengan PHP 8.4.26 berhasil dibobol.
• 26 Oktober, CISA memasukkan kedua celah ke katalog KEV. Trail of Bits menyatakan eksploit bekerja terhadap PHP 8.2 hingga 8.5 sebelum patch, dengan demo pada MediaWiki, Symfony, Laravel, dan phpBB.
• Cloudflare menyatakan serangan sudah terlihat saat patch dirilis, dan NCSC Inggris meminta server yang belum ditambal dimatikan.

Artinya, server PHP yang belum di-update sekarang harus dianggap berisiko tinggi dibobol, bukan sekadar rentan.

Lalu pada 28 Oktober, CISA memasukkan celah kernel Linux CVE-2026-46300 (CVSS 7,8) ke katalog KEV. Celah ini dipakai bersama PHP2Shell: setelah masuk lewat PHP, penyerang memakai celah kernel untuk mendapat root dan menanam web shell.

Tindakan:

1. Update PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Untuk PHP 7.4, 8.0, dan 8.1 tersedia backport minimal, tetapi sebaiknya segera pindah ke versi yang didukung.
2. Restart PHP-FPM atau web server setelah update. Paket yang sudah di-update tidak menambal proses PHP yang sedang berjalan.
3. Jika server sempat terekspos tanpa patch sejak 17 Oktober, periksa web shell dan file PHP baru di direktori web, akun dan cron yang tidak dikenal, serta koneksi keluar yang mencurigakan.
4. Update kernel ke versi yang sudah diperbaiki (misalnya 6.1.174, 6.6.141, 6.12.91, atau 6.18.33) lalu reboot.
5. Jika belum bisa update, mitigasi sementara: set session.upload_progress.enabled=0 dan kecilkan post_max_size. Ini mengurangi risiko, bukan perlindungan penuh.

Panel hosting seperti cPanel dan Plesk biasanya mengirim versi PHP lewat paket mereka sendiri. Pastikan paket PHP di panel sudah ikut diperbarui.

Patch Tuesday Oktober: 1.413 CVE

Microsoft menambal 1.413 CVE pada 14 Oktober, Patch Tuesday terbesar yang pernah ada, melampaui rekor September. Satu zero-day sudah dieksploitasi: CVE-2026-96951 (CVSS 8,8), bypass Mark of the Web di Windows Shell yang membutuhkan korban membuka file berbahaya.

Tindakan: pasang update kumulatif Oktober, dan ingatkan pengguna untuk tidak membuka lampiran atau tautan yang tidak terduga. Bagi yang masih memakai Windows 10, baca juga penjelasan kami soal Windows 10 ESU.

Gelombang zero-day di VPN dan firewall

Hampir setiap minggu di bulan Oktober ada gateway VPN atau firewall yang diserang:

• Ivanti Connect Secure, CVE-2026-104935 (CVSS 8,6). Volexity menemukan penyerang membobol perangkat yang sudah di-patch penuh sejak 3 Oktober, lalu mencuri kredensial Active Directory, kata sandi LAPS, dan kunci BitLocker. Alat pemeriksa integritas Ivanti tidak mendeteksi rantai serangan ini. Perbaikan: 25.1.1.2, 25.1.3.1, dan 22.8R2.5. Dua celah lain menyusul masuk KEV pada 30 Oktober, diperbaiki di 25.1.1.3 dan 22.8R2.6.
• Palo Alto PAN-OS, CVE-2026-0322 (CVSS 8,6). Eksekusi kode sebagai root lewat antarmuka manajemen. Tidak ada workaround, jadi batasi antarmuka manajemen hanya untuk IP internal.
• Fortinet FortiOS, CVE-2025-61624. Unit 42 melaporkan kelompok yang membobol penyedia layanan telekomunikasi, mencuri konfigurasi lebih dari 500 FortiGate, lalu memasang implant PEERSTITCH yang berjalan di memori. Update sesuai advisory FG-IR-26-122, patch FortiManager, dan periksa akun admin yang tidak dikenal.
• Cisco ASA/FTD, CVE-2026-76418 (CVSS 8,6). Permintaan ke SSL VPN tanpa login bisa membuat firewall reboot. Berlaku untuk perangkat dengan SSL VPN dan autentikasi sekunder.
• Citrix NetScaler, CVE-2026-88779. Celah SAML yang dipakai untuk membuat perangkat crash, ditambal pada 3 Oktober. Jika Anda sudah update untuk zero-day September, update lagi bila memakai SAML.
• Cisco Secure Email Gateway, CVE-2026-76519 (CVSS 9,8). Lampiran email yang dirancang khusus bisa menghasilkan eksekusi perintah sebagai root.

Pelajaran utamanya: antarmuka manajemen firewall dan VPN tidak boleh terbuka ke internet, dan jadwal patch perangkat tepi harus secepat jadwal patch server.

Backup dan virtualisasi

• AhsayCBS, CVE-2026-105133 dan CVE-2026-105134. Konsol backup yang banyak dipakai MSP ini dibobol untuk menanam web shell dan penambang kripto. Perbaikan awal ternyata belum lengkap; pakai v10.3.4.45 atau v9.15.2.70. Satu konsol yang dibobol bisa berdampak ke semua pelanggan yang dikelolanya.
• VMware ESX, CVE-2026-41709. Celah pencatatan log (CVSS 2,7) yang dipakai kelompok terkait Tiongkok untuk menghapus jejak aktivitas admin. Masuk KEV pada 28 Oktober.
• SharePoint on-premise. Kelompok ransomware Warlock masih membobol SharePoint lewat rangkaian celah ToolShell dari 2025. Korbannya antara lain perusahaan air minum dan operator telekomunikasi.

Asia: layanan cloud dan VPS dibobol

• IDC Frontier (Jepang), 7 Oktober. Serangan ransomware menghentikan server virtual 495 perusahaan dan pemerintah daerah, dan pemulihan hanya bisa dari backup milik pelanggan sendiri. Kami membahasnya di Belajar dari Serangan IDC Frontier.
• GMO Onamae.com Desktop Cloud (Jepang), 19–27 Oktober. Layanan VPS Windows untuk trading MetaTrader dibobol. Hingga 26.739 server masuk cakupan, program berbahaya ditanam di lingkungan server pelanggan, dan data dicuri. Penyerang meminta tebusan sekitar USD 50 juta; GMO menolak dan tidak akan menjalankan ulang platform dalam bentuk yang sama. Laporan media berbeda soal apakah ransomware sudah aktif.

Dua kasus ini menunjukkan risiko yang sama: ketika penyedia diserang, backup yang Anda simpan sendiri di tempat terpisah adalah satu-satunya jaminan.

Indonesia: kebocoran data Fore Coffee

Pada 28 Oktober, PT Fore Kopi Indonesia Tbk mengumumkan akses tidak sah ke platform pengelolaan data pelanggannya, dengan sekitar 5,7 juta akun terdampak. Data yang terekspos meliputi nama, email, nomor telepon, tanggal lahir, jenis kelamin, alamat di aplikasi, PIN yang sudah di-hash, dan riwayat pembelian. Fore menyatakan data NIK tidak pernah dikumpulkan dan data kartu pembayaran ada di platform terpisah. Fore sudah melapor ke Komdigi dan menambahkan verifikasi dua langkah untuk login dari perangkat baru.

Jika Anda pelanggan Fore: ganti PIN, terutama jika PIN yang sama dipakai di layanan lain, dan waspadai phishing lewat telepon, SMS, email, atau WhatsApp.

Bagi pelaku usaha, kasus ini contoh nyata kewajiban notifikasi dalam UU PDP. Baca persiapannya di panduan PP 33/2026 kami. Di sisi regulasi, Komdigi pada 28 Oktober juga mendorong prinsip minimisasi data dalam pembahasan RUU Administrasi Kependudukan.

Microsoft 365: password spraying

Pada 8 Oktober, FBI, CISA, dan sejumlah lembaga internasional menerbitkan advisory AA26-281A tentang password spraying ke Exchange dan Microsoft 365. Kami membahas isinya dan checklist perlindungannya di artikel terpisah.

DDoS: Indonesia masuk tiga besar negara paling diserang

Laporan DDoS Cloudflare kuartal ketiga 2026 (29 Oktober) mencatat:

• 18,2 juta serangan di lapisan jaringan, sekitar 8.226 per jam.
• 96% serangan berlangsung kurang dari 10 menit, dan 98% di bawah 1 Gbps.
• Serangan di atas 1 Tbps turun dari 805 menjadi 251, yang dikaitkan Cloudflare dengan penutupan empat botnet IoT.
• Amplifikasi DNS naik 215%.
• Indonesia naik ke tiga besar lokasi yang paling banyak diserang, dengan 2,93% dari seluruh serangan.

Jika di semester pertama Indonesia tercatat sebagai salah satu sumber serangan terbesar, kini Indonesia juga menjadi salah satu sasaran utama. Serangan yang singkat dan sering membuat perlindungan otomatis lebih penting daripada kapasitas puncak.

Akhir bulan: GitLab

Pada 29–30 Oktober, CISA memasukkan celah GitLab CVE-2026-97229 ke katalog KEV. Celah integer overflow di kompiler regex CI/CD ini (CVSS 10,0) memungkinkan eksekusi kode tanpa login. Alpine Linux melaporkan percobaan eksploitasi ke instance GitLab miliknya pada 20–26 Oktober; mereka tidak menemukan bukti keberhasilan, tetapi tetap membangun ulang server tersebut. Perbaikan ada di GitLab CE/EE 19.4.2, 19.3.5, dan 19.2.8. Jika Anda menjalankan GitLab sendiri, update sekarang.

Checklist singkat

1. Update PHP dan kernel Linux, lalu restart layanan dan reboot.
2. Pasang Patch Tuesday Oktober.
3. Update Ivanti, Palo Alto, Fortinet, Cisco, dan Citrix yang Anda pakai, lalu tutup antarmuka manajemen dari internet.
4. Update AhsayCBS, ESXi, SharePoint, dan GitLab jika dipakai.
5. Pastikan ada backup di luar penyedia utama Anda dan uji pemulihannya.
6. Siapkan prosedur notifikasi insiden 3 x 24 jam sesuai UU PDP.

Bagaimana Cloudku membantu

Kasus IDC Frontier dan GMO menunjukkan bahwa penyedia mana pun bisa diserang. Cloudku Cyber Protection menyimpan backup terpisah dari server Anda, dilengkapi antimalware, sehingga pemulihan tidak bergantung pada satu penyedia. Untuk serangan DDoS yang kini makin sering menyasar Indonesia, Cloudku DDoS Protection menyaring trafik secara otomatis melalui titik filter di Indonesia.

Rangkuman November 2026 akan kami terbitkan di akhir bulan.