Update Keamanan Ubuntu Oktober 2026: PHP, Brotli, nginx, zlib, OpenVPN, dan Kernel

Kalau Anda mengelola server Ubuntu, paruh kedua Oktober 2026 terasa jauh lebih sibuk dari biasanya. Antara 13 dan 27 Oktober, Canonical menerbitkan advisory keamanan untuk PHP, Brotli, nginx, zlib, OpenVPN, dan kernel 24.04, beberapa di antaranya untuk celah yang bisa berujung pada eksekusi kode dari jarak jauh. Hampir semua paket ini ada di setiap server web yang kami tangani: nginx di depan, PHP-FPM di belakangnya, dan zlib di bawah hampir semuanya. Perbaikannya selalu lewat apt upgrade biasa, tetapi ada beberapa detail yang menentukan apakah server benar-benar aman setelahnya, dan detail itu mudah terlewat: nomor versi khas Ubuntu, proses yang masih memakai library lama, dan nasib rilis yang sudah keluar dari masa dukungan standar.

Ringkasan Advisory

PHP: Nomor Versi Ubuntu Berbeda dari Versi Resmi PHP

USN-8948-1 menambal kedua celah PHP2Shell, CVE-2026-109618 dan CVE-2026-109619, yang oleh Ubuntu diberi prioritas Critical. Bagian yang sering membingungkan adalah nomor versinya. PHP resmi memperbaikinya di 8.3.36, sedangkan Ubuntu 24.04 memakai PHP 8.3.6 dan memasukkan perbaikan keamanan ke versi itu (backport). Setelah di-patch, php -v tetap menampilkan 8.3.6. Yang berubah adalah revisi paketnya.

Cek dengan dpkg -l 'php8.3*' lalu bandingkan revisinya, bukan versi PHP-nya. Kalau server Anda memakai repositori ondrej/php, yang umum di Laravel Forge dan banyak setup custom, aturannya terbalik: paket dari sana mengikuti versi resmi, jadi yang harus terlihat adalah 8.3.36, 8.4.27, atau 8.5.12. Apa pun sumbernya, restart PHP-FPM dan semua proses PHP CLI yang berjalan lama seperti queue worker.

Brotli: Library Sistem Hanya Sebagian dari Perbaikan

USN-8956-1 memperbarui brotli, libbrotli1, dan python3-brotli untuk CVE-2026-111497, celah yang dikenal dengan nama HTTP2Shell. Versi amannya 1.1.0-2ubuntu0.1 di 24.04 dan 1.0.9-2ubuntu0.1 di 22.04. Update ini melindungi nginx yang memakai Brotli lewat library sistem, curl, dan kode Python yang memakai paket bawaan distro.

Update ini tidak melindungi Node.js yang dipasang dari NodeSource, nvm, atau image Docker, juga virtualenv Python yang punya wheel Brotli sendiri, karena semuanya membawa salinan Brotli terpisah. Untuk itu Anda perlu Node.js v22.23.4 atau v24.22.1 dan Python Brotli 1.2.1. Daftar lengkapnya ada di artikel HTTP2Shell kami.

nginx: Lima Perbaikan, Tiga di Antaranya Serius

USN-8955-1 adalah advisory yang paling perlu didahulukan di kebanyakan server web, karena nginx langsung berhadapan dengan internet. Ada lima celah yang ditutup:

• CVE-2026-15176: konfigurasi yang menggabungkan alias dengan aturan rewrite bisa dibuat crash oleh penyerang dari jarak jauh, dan berpotensi berujung eksekusi kode.
• CVE-2026-93479: blok map yang memakai regular expression salah ditangani, dengan potensi dampak yang sama.
• CVE-2026-97205: file I/O asinkron bersama Server Side Includes bisa membuat nginx crash atau berpotensi menjalankan kode.
• CVE-2026-97629: dengan shared SSL session cache tanpa rotasi ticket key yang eksplisit, penyerang bisa memalsukan sesi dan melewati verifikasi sertifikat klien. Berdampak ke 24.04 ke atas, dan penting kalau Anda memakai mutual TLS.
• CVE-2026-95101: HTTP/3 dengan proxy_request_buffering bisa membuat penyerang menyisipkan data ke request yang diteruskan. Hanya 26.04 dan 26.10 yang terdampak.

Versi amannya 1.24.0-2ubuntu7.19 di 24.04 dan 1.18.0-6ubuntu14.22 di 22.04. Blok map dengan regex dan alias yang dikombinasikan dengan rewrite sama-sama umum di konfigurasi Laravel, WordPress, dan reverse proxy, jadi jangan buru-buru menganggap server Anda tidak terdampak. Kalau nginx dipasang dari repositori nginx.org, advisory ini tidak berlaku untuk Anda; update dari repositori tersebut.

zlib: Library Kecil yang Dipakai Hampir Semua Program

USN-8954-1 memperbaiki CVE-2026-85091, heap buffer overflow pada cara zlib menangani operasi tulis non-blocking tertentu, yang berpotensi memungkinkan eksekusi kode. Celah ini berdampak ke 24.04, 26.04, dan 26.10; di 24.04 paket amannya zlib1g 1:1.3.dfsg-3.1ubuntu2.3. zlib dipakai oleh nginx, OpenSSH, Python, PHP, Git, dan ratusan program lain. Memasang paket baru memang mengganti file di disk, tetapi setiap proses yang sudah memuat library lama tetap memakainya di memori sampai di-restart. Di update inilah pengecekan proses yang masih memakai library lama paling penting.

OpenVPN dan Kernel 24.04

USN-8953-1 memperbaiki cara OpenVPN membaca field subject di sertifikat (CVE-2026-84790), yang bisa membuat user yang sudah terautentikasi menyamar sebagai user lain. Kalau Anda menjalankan server OpenVPN untuk karyawan yang bekerja dari luar kantor, update lalu restart service openvpn; advisory-nya menyebut langkah ini secara eksplisit.

USN-8917-1 adalah yang terbesar dari segi jumlah: update kernel untuk Ubuntu 24.04 yang mencantumkan sekitar 1.050 CVE, mulai dari networking, file system, BPF, KVM, sampai sebagian besar driver. Kernel generic barunya adalah 6.8.0-147, dengan versi khusus cloud untuk AWS, GCP, dan Oracle; kernel Azure mendapat perbaikan yang sama lewat USN-8918-1 di hari yang sama. Perbaikan kernel baru berlaku setelah reboot. Kalau server tidak bisa sering dimatikan, Livepatch dari Ubuntu Pro bisa menerapkan perbaikan kernel yang kritis tanpa reboot, tetapi pada akhirnya server tetap perlu di-reboot ke kernel baru.

Ubuntu 20.04 ke Bawah Butuh Ubuntu Pro

Ubuntu 20.04 sudah keluar dari masa dukungan standar sejak 2025. Perbaikannya tetap ada, tetapi hanya lewat Ubuntu Pro (ESM): perbaikan Brotli di USN-8956-2 berversi 1.0.7-6ubuntu0.1+esm1, dan PHP 7.4 diperbaiki di 7.4.3-4ubuntu2.29+esm5. Tanpa Pro, apt upgrade di server 20.04 tidak menemukan apa pun, sehingga server tetap rentan walaupun terlihat sudah up to date. Ubuntu Pro gratis untuk pemakaian pribadi sampai lima mesin, dan berbayar untuk bisnis di atas itu. Ubuntu 25.10 yang merupakan rilis interim sudah tidak didukung sama sekali dan tidak mendapat perbaikan. Jalankan pro status untuk melihat posisi setiap server.

Langkah Update

1. 1Cek rilis dan status dukungan: lsb_release -a dan pro status. Rencanakan upgrade untuk server yang masih di 20.04 ke bawah tanpa Pro, dan untuk semua rilis interim.
2. 2Lihat apa yang menunggu: sudo apt update, lalu apt list --upgradable. Pastikan paket php, nginx, zlib1g, libbrotli1, openvpn, dan linux-image ada di daftar.
3. 3Pasang: sudo apt upgrade. Di server yang tidak boleh terganggu walau sebentar, lakukan saat trafik rendah, karena nginx dan PHP-FPM akan di-restart sebagai bagian dari upgrade.
4. 4Restart yang masih memakai library lama: sudo needrestart, yang sudah terpasang default di Ubuntu Server 22.04 dan 24.04. Perintah ini menampilkan layanan yang masih menjalankan versi library yang sudah dihapus dan menawarkan untuk me-restart-nya. Jangan lupa queue worker, program di Supervisor, dan proses yang berjalan terus-menerus.
5. 5Reboot kalau file /var/run/reboot-required ada, dan setelah update kernel file itu pasti ada. Setelah reboot, uname -r di 24.04 harus menampilkan 6.8.0-147 atau lebih baru.
6. 6Verifikasi: dpkg -l nginx zlib1g libbrotli1 'php8.*-fpm' lalu bandingkan dengan versi di atas.

Supaya ini tidak jadi kepanikan setiap bulan, aktifkan unattended-upgrades untuk update keamanan. Paket ini sudah terpasang secara default dan memasang update keamanan setiap hari. Hanya saja, secara default ia tidak me-reboot server dan tidak me-restart semua layanan yang terdampak, jadi jadwal maintenance mingguan untuk reboot dan needrestart tetap perlu. Ingat juga bahwa paket dari repositori pihak ketiga seperti ondrej/php, nginx.org, NodeSource, atau Docker sama sekali tidak tercakup oleh advisory keamanan Ubuntu.