Pakar keamanan siber membongkar aksi serangan siber yang diduga dibantu oleh teknologi kecerdasan buatan (AI) oleh kelompok peretas yang terafiliasi dengan Tiongkok melalui pemanfaatan celah kerentanan PHP2Shell guna menembus perangkat-perangkat yang terekspos.
Aktivitas peretasan yang terpantau pada 25 Oktober 2026 tersebut memperlihatkan peretas memadukan PHP2Shell dengan teknik eksploitasi eskalasi hak istimewa kernel untuk menguasai akses root pada 25 server, termasuk tiga sistem pada jaringan yang terafiliasi dengan pemerintah Amerika Serikat.
"Perangkat yang terdampak menjalankan varian sistem operasi tertentu dari perangkat lunak firewall milik vendor terkemuka," ungkap perusahaan keamanan siber Dream. "Pihak peretas kemudian melancarkan serangan terhadap Active Directory. Berbagai artefak yang diamankan mengonfirmasi adanya pencurian kredensial serta proses enumerasi direktori."
Identitas vendor bersangkutan tidak diungkapkan kepada publik, namun entitas asal Israel tersebut menyatakan telah memberi peringatan resmi. Rangkaian invasi siber ini pada dasarnya mengombinasikan dua kelompok celah keamanan yang berdampak langsung pada PHP dan kernel Linux –
"Eksploitasi yang kami temukan adalah varian khusus non-publik, sama sekali bukan salinan dari eksploitasi publik PHP2Shell yang selama ini beredar," beber peneliti Dream. "Metode ini memakai fondasi logika yang sama, tetapi tampaknya dirancang secara independen serta dikhususkan secara presisi bagi platform firewall sasaran."
"Kelemahan tersebut menyasar mekanisme session.upload_progress kepunyaan PHP pada server manajemen appweb firewall. Sistem operasi firewall memakai PHP versi 8.0.30 dengan ambang batas memori tinggi yang memudahkan terjadinya tahap perusakan memori dalam rangkaian serangan."
Modifikasi khusus pada rantai eksploitasi PHP2Shell ini, yang dipadukan bersama kerentanan CVE-2026-46300, dilaporkan berhasil mengambil alih hak akses root terhadap 25 server di wilayah Amerika Serikat, Jepang, Taiwan, dan Korea Selatan.
Temuan bukti forensik oleh Dream memperlihatkan operasi diawali lewat pengembangan kode eksploitasi di lingkungan uji coba sebelum berhasil mendapatkan jalur akses menetap ke dalam domain internal Active Directory milik badan pemerintah Amerika Serikat.
"Usai memegang kendali root, pelaku segera mengalihkan fokus serangan pada tiga server spesifik yang berada di dalam lingkungan afiliasi pemerintah Amerika Serikat," papar pihak perusahaan pengawas keamanan siber tersebut.
Keterkaitan operasi ini dengan pemanfaatan sistem kecerdasan buatan terungkap lewat temuan pemasangan kakas Claude Code dari Anthropic di infrastruktur peretas, di samping penemuan kunci API FOFA serta platform uji keamanan ofensif berteknologi AI bernama aiscan yang terhubung dengan model bahasa besar (LLM) DeepSeek dan Kimi.
Selain itu, tata susunan kode, pola penulisan komentar instruksi, hingga tingkat keseragaman di hampir 40 skrip mengindikasikan bantuan kecerdasan buatan dalam mempercepat proses perancangan perangkat lunak. Secara menyeluruh, Dream menerangkan kronologi operasi berlangsung sebagai berikut –
Saat ini belum dapat dipastikan apakah pelaku telah berhasil mengamankan kredensial sah atau menanam akun pintu belakang (backdoor). Oleh sebab itu, tingkat keparahan dari penyusupan jaringan ini masih belum diketahui seutuhnya.
"Mengingat Amerika Serikat, Jepang, Taiwan, dan Korea Selatan merupakan empat sasaran intelijen sekaligus musuh strategis terpenting bagi operasi siber pemerintah Tiongkok di kawasan Pasifik, data ini mengarah kuat pada aktivitas musuh tingkat negara," tutur Dream.
"Insiden tersebut memperlihatkan bagaimana antarmuka manajemen publik dapat menjadi celah penerobos infrastruktur identitas organisasi. Sebanyak 22 perangkat firewall lainnya masih dipasangi web shell aktif. Terowongan akses menuju instansi pemerintah Amerika Serikat diyakini masih berfungsi. Selain itu, peretas mengantongi 19.000 target teridentifikasi yang siap diserang sewaktu-waktu sembari menyusun profil bagi varian OS lainnya."
Pengungkapan fakta ini mencuat tatkala kerentanan PHP2Shell sebenarnya baru sedikit dieksploitasi di lapangan, lantaran para pelaku ancaman kerap menemui kendala teknis saat mentransformasikan bukti konsep (PoC) menjadi senjata serangan yang stabil pada sistem nyata.
"Secara praktik ini sampah yang mustahil dieksploitasi. Untuk meretas target nyata Anda memerlukan nilai offset dari libphp.so yang selalu berbeda di tiap kompilasi dan mustahil ditebak. Anda hanya bisa mereproduksinya di lingkungan pengujian pribadi, atau bila sudah memiliki akses langsung ke sistem berkas target," pungkas pengguna bernama akun c0d3x di forum daring XSS, sebagaimana dilaporkan oleh Flare.
