CVE Laravel Terbaru? Sumber Masalahnya Ada di Runtime PHP

Banyak tim menyebut vulnerability ini sebagai CVE Laravel karena dampaknya terasa langsung pada aplikasi Laravel. Namun, dua vulnerability kritis yang diumumkan pada 21 Oktober 2026 berada di PHP runtime, bukan pada kode inti framework Laravel.

CVE yang dimaksud adalah CVE-2026-109618 dan CVE-2026-109619. Keduanya dapat memungkinkan attacker mengirim request HTTP yang dibuat khusus untuk memicu remote code execution, membocorkan data dari request lain, atau menyebabkan denial of service pada runtime PHP yang belum diperbaiki.

Dengan kata lain, aplikasi Laravel dapat ikut terdampak karena Laravel berjalan di atas PHP-FPM, PHP CGI, atau SAPI PHP lainnya. Meng-upgrade package Composer saja tidak cukup jika binary PHP yang menjalankan aplikasi masih rentan.

Apa penyebab kerentanannya?

Berdasarkan advisory resmi PHP dan ringkasan keamanan Laravel, masalahnya berhubungan dengan pengelolaan kondisi internal PHP ketika runtime menghadapi request yang dibuat secara khusus.

Salah satu vulnerability berkaitan dengan penanganan kondisi out-of-memory. Dalam keadaan tertentu, proses internal dapat berhenti ketika data request belum terinisialisasi secara lengkap, lalu tahap pembersihan request memperlakukan data yang tidak valid sebagai data yang sah.

Vulnerability lainnya berkaitan dengan state internal yang dapat terbawa ketika worker PHP digunakan kembali. Jika state request tidak dibersihkan dengan benar, request berikutnya dapat terpengaruh oleh data atau kondisi dari request sebelumnya.

Detail pentingnya adalah lokasi masalah berada pada engine dan lifecycle request PHP. Laravel tidak dapat menutup bug runtime hanya melalui middleware, route validation, CSRF protection, atau perubahan pada composer.json.

Mengapa aplikasi Laravel bisa terkena?

Laravel biasanya dijalankan melalui PHP-FPM di belakang Nginx atau Apache. Request dari internet masuk ke web server, diteruskan ke worker PHP-FPM, lalu diproses oleh framework dan aplikasi.

Jika vulnerability terjadi sebelum atau selama lifecycle request PHP, maka request dapat memengaruhi proses PHP sebelum validasi aplikasi Laravel menjadi pertahanan yang cukup. Beberapa kondisi yang meningkatkan risiko antara lain:

PHP-FPM atau PHP CGI menerima request dari internet;
worker PHP dipakai ulang untuk banyak request;
runtime PHP belum menggunakan paket patched;
aplikasi menangani input atau payload HTTP dari pihak tidak tepercaya;
server menjalankan beberapa aplikasi pada runtime PHP yang sama;
tim hanya memperbarui dependency Laravel tanpa memperbarui PHP.

WAF, rate limit, validasi input, dan authentication tetap penting, tetapi semuanya adalah lapisan tambahan. Kontrol tersebut bukan pengganti patch runtime.

Siapa yang perlu memeriksa?

Periksa semua host yang menjalankan:

Laravel melalui PHP-FPM;
Laravel Octane atau worker PHP yang berjalan lama;
PHP CGI atau Apache module;
queue worker dan scheduler berbasis PHP;
container image yang membawa PHP sendiri;
platform managed hosting yang tidak otomatis memperbarui runtime.

Jangan hanya memeriksa php -v pada laptop atau shell administrator. Pastikan versi binary CLI, PHP-FPM, container, dan service production benar-benar diperiksa.

Versi patched dan langkah mitigasi

Ikuti advisory vendor dan gunakan versi patched sesuai branch PHP yang dipakai. Untuk branch PHP 8.3, target patch upstream yang dibahas pada security release ini adalah PHP 8.3.36. Distribusi Linux dapat menerapkan patch melalui backport dengan nomor paket berbeda, sehingga administrator harus memeriksa advisory vendor dan candidate package repository.

Checklist mitigasi:

Inventarisasi semua binary dan service PHP:

php -v
php-fpm8.3 -v
systemctl list-units --type=service | grep -Ei 'php|fpm|laravel|queue|octane'

Periksa advisory Ubuntu, Debian, vendor hosting, atau upstream PHP.
Update paket PHP CLI, FPM, common, opcache, dan extension yang digunakan aplikasi.
Restart PHP-FPM. Reload Nginx saja tidak cukup jika worker PHP lama masih berjalan.
Restart queue worker, scheduler, Octane, dan service PHP lain agar tidak memakai binary atau library lama.
Verifikasi versi dari proses production, bukan hanya dari shell administrator.
Periksa log Nginx, PHP-FPM, dan Laravel untuk crash, worker restart, request abnormal, atau error setelah update.
Jika ada indikasi eksploitasi, isolasi host, simpan log, rotasi credential yang mungkin terbaca, dan lakukan pemeriksaan integrity sebelum menghapus bukti.

Apa yang tidak cukup?

Beberapa tindakan terlihat relevan tetapi tidak menyelesaikan akar masalah:

menjalankan composer update tanpa update PHP;
hanya memperbarui laravel/framework;
menambah middleware validasi input lalu membiarkan PHP-FPM tetap vulnerable;
mengandalkan WAF sebagai pengganti patch;
hanya reload Nginx tanpa restart worker PHP;
memeriksa versi CLI tetapi lupa memeriksa PHP-FPM;
menunggu laporan exploit sebelum melakukan patch.

Hardening tambahan untuk Laravel

Setelah runtime diperbarui, pertahankan kontrol aplikasi berikut:

APP_DEBUG=false di production;
secret tidak disimpan di repository atau log;
PHP-FPM socket dan service dibatasi dengan permission minimum;
Nginx membatasi method, ukuran request, dan endpoint yang tidak diperlukan;
queue worker berjalan sebagai user non-root;
dependency Composer dipantau melalui audit rutin;
backup dan rollback diuji sebelum update besar;
access log dan PHP-FPM log dikirim ke monitoring yang dapat diaudit.

Kontrol ini mengurangi blast radius, tetapi status patched runtime tetap menjadi syarat utama.

Kesimpulan

Pertanyaan yang lebih tepat bukan hanya “apakah Laravel terkena CVE baru?”, melainkan “runtime PHP apa yang menjalankan Laravel ini?”

Jika server menjalankan PHP-FPM atau CGI yang belum dipatch, aplikasi Laravel dapat ikut berada dalam risiko meskipun kode aplikasi dan dependency Composer terlihat bersih. Inventarisasi runtime, gunakan paket patched dari upstream atau vendor tepercaya, restart semua worker, lalu lakukan verifikasi endpoint dan log.

Referensi

Laravel, PHP critical vulnerability response updates, 21 October 2026: https://laravel.com/blog/php-critical-vulnerability-response-updates
Laravel Forge, PHP security advisory: CVE-2026-109618 dan CVE-2026-109619: https://laravel.com/forge/docs/knowledge-base/php-security-release-october-2026
PHP, PHP 8.3.36 release: https://php.net/releases/8_3_36.php
PHP security advisories: https://github.com/php/php-src/security/advisories

Tanggal publish sumber: 21 October 2026