Belum bisa update PHP sekarang: mitigasi sementara apa yang bisa dilakukan?

PHP menerbitkan workaround, tetapi ingat: ini hanya menutup sebagian jalur serangan. Satu-satunya solusi lengkap tetap update.

• CVE-2026-109619: set session.upload_progress.enabled=0 di php.ini, lalu restart semua worker. Ini hanya memblokir jalur yang sudah terkonfirmasi lewat session, bukan semua jalur.
• CVE-2026-109618: set memory_limit=-1, sebaiknya di level yang tidak bisa ditimpa aplikasi (misalnya php_admin_value di pool FPM). Konsekuensinya, satu script yang boros memori bisa menghabiskan RAM server. Pantau pemakaian memori.

Langkah pendukung:

• Aktifkan aturan WAF (Cloudflare, ModSecurity, dan sejenisnya) bila vendor sudah merilis signature untuk PHP2Shell.
• Batasi hak akses user web worker: jangan jalankan sebagai root, dan pastikan folder kode tidak bisa ditulis oleh worker.
• Pantau log akses dan proses untuk aktivitas aneh: proses sh/bash yang dibuat oleh PHP-FPM, file PHP baru di folder upload, atau koneksi keluar ke IP tak dikenal.
• Siapkan rotasi kredensial (password database, API key, APP_KEY) bila ada indikasi server sudah disusupi, karena memori worker bisa bocor.

Jelaskan ke atasan bahwa ini perubahan darurat, bukan maintenance biasa. Skor 9.2 dan eksploit yang sudah bocor cukup jadi alasan untuk mempercepat jadwal.