Setiap kali ada pengumuman celah keamanan, tiga atau empat istilah asing muncul sekaligus: RCE, use-after-free, integer overflow, out-of-bounds write, CVSS. Bagi yang tidak bekerja di keamanan, artikel teknis jadi sulit dinilai apakah relevan dengan situsnya atau tidak.

Padahal, memahami empat istilah dasar sudah cukup untuk membaca sebagian besar pengumuman celah dan memutuskan seberapa cepat kamu harus bergerak. Ini penjelasan sederhananya, memakai contoh dari celah yang rilis pekan ini.

RCE: Remote Code Execution

RCE berarti penyerang bisa menjalankan kode di servermu dari jarak jauh. Ini kategori paling berat, karena kalau penyerang bisa menjalankan kode, dia bisa melakukan hampir semua hal yang bisa dilakukan proses itu: membaca file, mengakses basis data, mengirim data keluar, atau memasang program lain.

Kata "remote" penting. Artinya penyerang tidak perlu berada di mesin yang sama, cukup bisa mengirim request lewat jaringan. Kata "unauthenticated" yang sering menempel berarti tidak perlu akun atau login sama sekali.

Contoh pekan ini: PHP2Shell (CVE-2026-109618 dan CVE-2026-109619) dan GitLab CVE-2026-110264, keduanya memungkinkan RCE tanpa autentikasi. Itu sebabnya dua kasus ini masuk kategori paling mendesak.

Yang perlu dipahami: RCE bukan satu teknik. Ada banyak jalan menuju RCE, dan dua di antaranya muncul di celah pekan ini.

Use-After-Free: Memakai Memori yang Sudah Dibuang

Program komputer meminjam memori untuk menyimpan data, lalu mengembalikannya ketika selesai. Use-after-free terjadi ketika program mengembalikan memori, tapi masih ada bagian lain yang menyimpan alamat memori itu dan memakainya lagi.

Bayangkan kamu menyewa loker, mengosongkannya, mengembalikan kuncinya, lalu tetap datang ke loker itu karena lupa sudah tidak menyewa. Kalau ada orang lain yang kini menyewa loker tersebut, kamu bisa mengambil barangnya, atau menaruh sesuatu di sana.

CVE-2026-109619 di PHP adalah contohnya. Sisa keadaan dari satu request masih menunjuk ke memori yang sudah dibebaskan, dan request berikutnya di worker yang sama memakai memori basi itu. Karena worker PHP melayani banyak request berurutan, satu request bisa "mewarisi" sisa dari request sebelumnya.

Integer Overflow: Angka yang Kelebihan Kapasitas

Komputer menyimpan angka dalam ukuran terbatas. Integer overflow terjadi ketika hasil perhitungan melebihi batas penyimpanan, sehingga angkanya "berputar" ke nilai lain, sering jadi kecil atau negatif.

Analogi sederhana: odometer mobil yang kembali ke nol setelah mencapai angka maksimal. Kalau program memakai angka itu untuk menghitung ukuran memori, hasilnya bisa jauh lebih kecil dari yang seharusnya.

GitLab CVE-2026-110264 adalah integer overflow saat kompilasi ekspresi reguler. Ekspresi reguler yang dibuat khusus bisa memicu perhitungan ukuran yang melampaui batas, dan dari situ penyerang bisa menjalankan kode.

Out-of-Bounds Write: Menulis di Luar Batas

Kalau program menyiapkan buffer untuk 100 karakter lalu menulis 150 karakter, 50 karakter terakhir ditulis ke area memori yang bukan miliknya. Itu out-of-bounds write. Dampaknya bisa apa saja, dari crash sampai penimpaan data lain yang kemudian dipakai untuk menjalankan kode.

Beda dengan overflow yang soal angka, out-of-bounds write soal batas ruang penyimpanan. Keduanya sering muncul bersamaan: overflow menghitung ukuran salah, lalu penulisan melampaui batas.

CVE-2026-111497 di Node.js adalah out-of-bounds write di decoder Brotli. Datanya masuk lewat jalur kompresi yang sangat umum dipakai aplikasi web.

Skor CVSS: Membaca Angka 9,2 dan 10,0

CVSS adalah skala 0 sampai 10 yang menggambarkan tingkat keparahan. Angka lebih tinggi berarti lebih berat. Tapi ada tiga hal yang sering disalahpahami:

Pertama, versi skala berbeda tidak selalu bisa dibandingkan langsung. PHP2Shell dinilai 9,2 pada CVSS v4.0, sedangkan GitLab dinilai 10,0 pada CVSS 3.1. Keduanya berat, tapi angka mentahnya tidak sepenuhnya sebanding.

Kedua, skor bisa keliru saat beredar. Menurut PHP Foundation, skor 10,0 yang beredar bersama ID PHP2Shell sebelum rilis resmi adalah skor yang salah. Selalu cek advisory resmi vendornya.

Ketiga, skor tidak memperhitungkan konteksmu. Celah 9,2 di layanan yang hanya bisa diakses dari jaringan internal punya risiko praktis berbeda dengan celah 7,5 di halaman login publik. Skor adalah titik awal, bukan kesimpulan.

Istilah Lain yang Sering Muncul

Cara Memakai Istilah Ini Secara Praktis

Saat membaca pengumuman celah, tiga pertanyaan sudah cukup untuk memutuskan prioritas:

  1. Apakah ini RCE tanpa autentikasi? Kalau ya, kerjakan hari ini.
  2. Apakah saya memakai versi yang terdampak? Cek nomor versi di server, jangan mengandalkan ingatan.
  3. Apakah layanan itu terbuka ke internet? Kalau ya, naikkan prioritas di atas yang hanya bisa diakses lewat VPN.

Kalau tiga pertanyaan itu terjawab, istilah teknis selebihnya bisa dibaca sambil menunggu patch terpasang.

Penutup

Kamu tidak perlu bisa menulis exploit untuk mengambil keputusan keamanan yang benar. Yang perlu dipahami cuma arah serangannya: apakah penyerang bisa menjalankan kode, dan apakah dia perlu akun. Sisanya konteks, dan konteks itulah yang paling menentukan apakah sebuah celah 9,2 benar-benar mendesak untuk situsmu atau tidak.

Penerapan istilah-istilah ini pada celah pekan ini ada di artikel PHP2Shell dan artikel GitLab. Untuk urutan penanganannya, lihat panduan patch 30 menit.

Pertanyaan yang Sering Muncul

Apakah skor 10,0 berarti server saya pasti jebol? Tidak. Skor menggambarkan tingkat keparahan, bukan kepastian. Yang menentukan adalah apakah celahnya bisa dijangkau di lingkunganmu.

Apakah celah yang butuh login masih berbahaya? Ya, karena akun bisa diperoleh lewat cara lain, termasuk akun dengan hak terbatas.

Bagaimana kalau saya tidak yakin versi apa yang dipakai? Itu sudah jadi temuan sendiri. Inventaris versi adalah langkah pertama sebelum semua yang lain.