Sistem Informasi & IT Hub
Mitigasi CVE-2026-115560 (PHP)

Mitigasi CVE-2026-115560 (PHP Session Upload Progress)

Dokumentasi tindakan mitigasi keamanan server VPS STIKBAR terhadap kerentanan PHP CVE-2026-115560 yang dipublikasikan pada 23 Oktober 2026.

⚠️ Latar Belakang Kerentanan

Pada 23 Oktober 2026, pihak PHP mempublikasikan kerentanan baru CVE-2026-115560 yang terkait dengan mekanisme session upload progress. Pada saat advisory ini diterbitkan, patch resmi belum tersedia dari repositori PHP maupun distribusi Ubuntu. Namun terdapat satu pengaturan konfigurasi yang dapat digunakan sebagai mitigasi sementara untuk melindungi server.

🖥️ Kondisi Server STIKBAR (Pra-Mitigasi)

Versi PHP Terpasang: PHP 8.4.11 (satu-satunya versi, tidak ada instalasi paralel)
SAPI Aktif: fpm-fcgi melalui service php8.4-fpm.service
Web Server: Nginx 1.28.0 (Apache / mod_php tidak aktif, sehingga tidak perlu penanganan tambahan)
Status Awal session.upload_progress.enabled: On (nilai default PHP — terekspos)
Hasil Audit Kode Aplikasi: Tidak satu pun aplikasi produksi (portal, pmb, alumni, lppm, cbt, sibara, e-dosen, kuesioner) menggunakan PHP_SESSION_UPLOAD_PROGRESS, sehingga mitigasi ini nol risiko regresi.

✅ Langkah Mitigasi yang Dijalankan

graph LR A[Audit versi & SAPI PHP] --> B[Scan pemakaian upload_progress di kode] B --> C[Backup php.ini FPM & CLI] C --> D[Set session.upload_progress.enabled = Off] D --> E[php-fpm -t: Config Test] E --> F[systemctl reload php8.4-fpm] F --> G[Verifikasi runtime ini_get] G --> H[Smoke test seluruh domain produksi]

1. Backup Konfigurasi

Seluruh file konfigurasi PHP dibackup dengan timestamp sebelum dimodifikasi:

/root/backup_php_cve/php.ini.fpm.bak_20261024_011208
/root/backup_php_cve/php.ini.cli.bak_20261024_011208

2. Nonaktifkan Session Upload Progress

Direktif berikut diaktifkan secara eksplisit pada baris 1448 di kedua file konfigurasi:

session.upload_progress.enabled = Off

File yang dimodifikasi:

/etc/php/8.4/fpm/php.ini (untuk seluruh aplikasi web)
/etc/php/8.4/cli/php.ini (untuk script CLI, cron, dan worker)

3. Validasi & Reload Tanpa Downtime

php-fpm8.4 -t          # NOTICE: configuration file test is successful
systemctl reload php8.4-fpm   # graceful reload, socket diwarisi (zero downtime)

🧪 Hasil Verifikasi Nyata

Runtime PHP

Konteks	`session.upload_progress.enabled`	Status
PHP-FPM (web, `fpm-fcgi`)	kosong / `false`	✅ Nonaktif
PHP CLI	`false`	✅ Nonaktif

Smoke Test Layanan Produksi (Pasca-Reload)

Domain	Status
`portal.stikesbaramuli.ac.id`	HTTP 200 ✅
`pmb.stikesbaramuli.ac.id`	HTTP 200 ✅
`alumni.stikesbaramuli.ac.id`	HTTP 200 ✅
`cbt.stikesbaramuli.ac.id`	HTTP 200 ✅
`lppm.stikesbaramuli.ac.id`	HTTP 200 ✅
`sibara.stikesbaramuli.ac.id`	HTTP 200 ✅
`e-dosen.stikesbaramuli.ac.id`	HTTP 200 ✅
`kuesioner.stikesbaramuli093141.cloud`	HTTP 200 ✅
`docu.stikesbaramuli.ac.id`	HTTP 200 ✅

Verifikasi Fungsional API PHP

Endpoint /api/admin/pendaftar-list.php pada sistem PMB diuji dengan token admin sementara dan mengembalikan success: true beserta data pendaftar — membuktikan session, autentikasi, dan koneksi database PHP tetap berjalan normal setelah mitigasi.

🔄 Rencana Tindak Lanjut

Monitoring Patch Resmi: Saat ini apt list --upgradable belum menampilkan paket PHP baru. Begitu patch PHP 8.4.x resmi rilis, lakukan:
```
apt update && apt upgrade php8.4-fpm php8.4-cli
systemctl reload php8.4-fpm
```
Pasca-Patch: Direktif session.upload_progress.enabled dapat tetap dibiarkan Off karena tidak ada aplikasi STIKBAR yang memerlukannya.

↩️ Prosedur Rollback (Jika Diperlukan)

cp /root/backup_php_cve/php.ini.fpm.bak_20261024_011208 /etc/php/8.4/fpm/php.ini
cp /root/backup_php_cve/php.ini.cli.bak_20261024_011208 /etc/php/8.4/cli/php.ini
php-fpm8.4 -t && systemctl reload php8.4-fpm