Oktober yang bikin begadang
PHP, Node.js, LiteLLM, sertifikat eMudhra, dan 1.411 patch Microsoft dalam satu bulan. Ini yang saya cek di server sendiri, dan hasilnya.
Orang keamanan menyebut bulan kemarin Black October. Setelah membaca semua advisori-nya, saya paham kenapa.
Tanggal 21 Oktober saja sudah cukup buat satu bulan. PHP merilis tambalan untuk dua celah use after free yang bisa dipakai menjalankan kode dari jarak jauh tanpa login. Di hari yang sama Node.js merilis perbaikan sepuluh celah, empat di antaranya berstatus high. Sorenya, LiteLLM, proxy populer untuk memanggil banyak model AI, mengumumkan rilis resminya disusupi kode jahat. TechCrunch sampai memberi judul artikelnya "The internet is having a very bad cybersecurity day".
Saya tidak mau cuma membaca. Jadi saya buka terminal dan mengecek satu per satu.
PHP
Celahnya CVE-2026-109618 dan CVE-2026-109619, dijuluki php2shell. Yang terdampak 8.2 sampai 8.5 sebelum versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Versi 8.1 ke bawah sudah tidak diurus lagi oleh proyek PHP. Per 26 Oktober, CISA memasukkannya ke daftar celah yang sudah dieksploitasi di dunia nyata.
Yang paling berisiko adalah mod_php, karena request tanpa login bisa memicu bug sebelum kode aplikasi sempat berjalan.
$ command -v php
$ docker exec infra-mailserver-1 sh -c 'command -v php'
Dua-duanya kosong. Server saya tidak menjalankan PHP sama sekali. Lega, tapi saya tahu banyak teman yang hosting WordPress di shared hosting. Kalau itu kamu, cek versinya hari ini, bukan minggu depan.
Satu catatan lagi: tanggal 23 Oktober PHP mengumumkan celah ketiga, CVE-2026-115560, yang tidak ikut tertambal di rilis tanggal 21. Sampai ada perbaikan, saran resminya adalah session.upload_progress.enabled=0.
Node.js
Versi yang aman: 26.12.1, 24.22.1, dan 22.23.4. Yang paling serius menurut saya adalah CVE-2026-111497, out-of-bounds write di dekoder Brotli. Ini mudah terpicu karena fetch() otomatis mendekompresi respons Brotli. Penemunya tim Codex Security dari OpenAI.
Di server, Node tidak terpasang. Di laptop saya sendiri:
$ node -v
v26.3.0
Kena. Laptop yang dipakai setiap hari justru yang ketinggalan. Ini pelajaran yang agak memalukan, jadi saya tulis di sini supaya tidak terulang.
LiteLLM
Penyerang menyuntikkan kode ke artefak rilis yang terbit di PyPI, Docker Hub, dan GHCR. Muatannya pencuri kredensial (cloud, password, API key AI) dan remote access trojan. Saya tidak memakai LiteLLM, tapi kasus ini paling membuat saya berpikir. Saya menulisnya terpisah di tulisan tentang rantai pasok.
eMudhra dan Microsoft
Kunci privat yang terkait delapan sertifikat intermediate milik eMudhra, otoritas sertifikat dari India, dinyatakan lemah secara kriptografis. Kalau disalahgunakan, orang bisa menerbitkan sertifikat palsu untuk situs apa pun. Ada yang menyebut pembersihannya "lebih besar dari Heartbleed". Untuk kita sebagai pengguna, langkahnya sederhana: biarkan browser dan sistem operasi update otomatis, karena pencabutan kepercayaan terjadi di sana.
Microsoft sendiri menambal 1.411 celah di Patch Tuesday 13 Oktober, rekor terbesar sepanjang sejarah, termasuk satu zero-day yang sudah dieksploitasi untuk melewati Mark of the Web. Bulan itu juga merupakan update terakhir untuk Windows 11 24H2 edisi Home dan Pro.
Daftar kerja saya
Tidak panjang, dan memang tidak perlu panjang:
- Node di laptop naik ke 26.12.1.
- Di server ada 49 paket sistem yang menunggu update. Itu dikerjakan di jam sepi, bukan siang hari, karena sebagian butuh restart.
- Satu kebiasaan baru: setiap Patch Tuesday dan setiap rilis keamanan Node atau PHP, saya cek semua mesin, termasuk laptop. Bukan cuma server.
Bulan ini bukan soal satu bug besar. Ini soal ritme: celah ditemukan, diumumkan, dan dieksploitasi dalam hitungan hari. Kenapa ritmenya jadi secepat ini, saya tulis di tulisan berikutnya.
Sumber: Canadian Centre for Cyber Security, AL26-026 · Node.js October 2026 security releases · TechCrunch, 21 Oktober 2026 · BleepingComputer, Patch Tuesday Oktober 2026