Sejumlah pelaku ancaman siber terdeteksi memanfaatkan platform kecerdasan buatan (AI) berbasis agen otonom guna melancarkan aksi pasca-eksploitasi berbahaya setelah membobol kerentanan PHP2Shell yang terdaftar di bawah pengenal CVE-2026-109618 dan CVE-2026-109619.
"Dalam salah satu insiden, para penyerang menyasar sebuah entitas pemerintah di benua Eropa dan dalam tempo dua jam sejak eksploitasi perdana dilancarkan, mereka berhasil mendapatkan akses langsung ke hash kata sandi serta rahasia autentikasi multifaktor," tutur unit intelijen ancaman Palo Alto Networks Unit 42.
"Mereka juga sukses membangun terowongan relai NT LAN Manager (NTLM) ke sistem Active Directory dan berupaya melancarkan eskalasi hak istimewa menuju tingkatan Domain Admin."
Perusahaan keamanan jaringan global tersebut menjelaskan bahwa pihaknya turut memantau bagaimana peretas anonim itu mengenumerasi titik akhir (endpoint) yang telah dikompromikan, dengan rentetan instruksi perintah dan penanda perilaku khas yang sangat mengindikasikan keterlibatan peretas berbasis agen otomatis AI. Perintah-perintah teknis ini dieksekusi guna memfasilitasi langkah-langkah strategis berikut –
Pengintaian terhadap pangkalan data autentikasi internal menggunakan kredensial yang sebelumnya telah dijarah, dengan target utama mencakup kumpulan hash kata sandi serta berbagai data rahasia autentikasi dua faktor (2FA).
Pengintaian terhadap arsitektur Active Directory (AD) lewat eksekusi kueri LDAP anonim berbasis perangkat baris perintah curl langsung ke pengontrol domain (DC) demi memburu akun administrator.
Pengintaian mendalam pada peladen lokal host untuk mendeteksi integrasi layanan DNS/AD, daftar host internal, kelompok pengguna dengan hak akses istimewa, hingga pengguna interaktif yang sedang beroperasi.
"Setiap kumpulan perintah dieksekusi terbungkus dalam format pembatas header bagian tertentu, contohnya pembatas ==SHELLUSER== serta ==PASSWD==," imbuh pihak analis keamanan tersebut. "Tanda pembatas khusus ini sengaja dirancang sedemikian rupa untuk menghasilkan luaran sistem yang terstruktur rapi sehingga mudah diproses secara otomatis oleh model inferensi AI."
Dugaan Kampanye Asal Korea Utara Targetkan Celah PHP2Shell
Temuan serangan mutakhir ini terungkap ke publik bertepatan dengan pengumuman dari CYFIRMA yang menyatakan berhasil membongkar dugaan kampanye spionase siber yang berafiliasi dengan Korea Utara, di mana para operator mengeksploitasi celah PHP2Shell untuk memindai infrastruktur PHP global dari 21 simpul jaringan yang telah mereka kompromikan.
"Aktivitas pemindaian sengaja dijalankan dalam volume sangat rendah dan kecepatan yang sangat diperhitungkan," ungkap Kumar Ritesh, CEO sekaligus pendiri CYFIRMA, kepada media The Hacker News. "Setiap simpul secara berkala diganti dan langsung ditinggalkan saat sistem target memicu pemblokiran atau pembatasan kuota, sehingga sistem peringatan berbasis ambang batas konvensional hampir pasti mustahil mendeteksinya."
Daftar sasaran tersebut mencakup sebanyak 216 unit peladen komputer yang belum diperbaiki atau baru dimitigasi sebagian, tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan wilayah Uni Eropa. Sasaran peladen ini membentang di berbagai sektor krusial meliputi instansi pemerintah, lembaga perbankan dan finansial, bidang logistik, fasilitas bandara serta penerbangan, manufaktur berskala besar, hingga portal transaksi daring komersial.
"Kampanye serangan siber ini kini telah berevolusi dari fase pengintaian awal menuju pemindaian aktif dengan metode lambat dan bertahap terhadap target-target yang telah disaring secara ketat," jelas pernyataan resmi CYFIRMA. "Entitas organisasi yang beroperasi di wilayah geografis dan sektor prioritas tersebut harus berasumsi bahwa sistem mereka saat ini berada dalam radar penargetan yang disengaja."
Aktivitas koordinasi bawah tanah ini, yang digerakkan melalui saluran jaringan tertutup I2P, diatribusikan dengan tingkat keyakinan sedang kepada operator berbahasa Korea yang dinilai kuat berafiliasi erat dengan ekosistem kejahatan kelompok Lazarus Group. Laporan CYFIRMA membeberkan bahwa dua identitas akun daring (전창혁 2 alias Jeon Chang-hyuk 2) serta (최아린 alias Choi A-rin) yang aktif berinteraksi di dalam kanal I2P tersebut sebelumnya pernah terpantau memimpin berbagai operasi siber rahasia bagi kelompok penyerang tersebut.
"Para operator berbahasa Korea terbukti memanfaatkan saluran komunikasi tersebut untuk menyebarkan daftar target serangan, infrastruktur peladen hosting eksploitasi, serta penugasan prioritas kerja yang sepenuhnya sejalan dengan objektif strategis rezim DPRK," kata Ritesh. "Rekaman percakapan yang berhasil dicegat memperlihatkan pemakaian diksi kata dan tata ejaan spesifik standar bahasa Korea Utara (Munhwaŏ) alih-alih bahasa Korea standar yang lumrah digunakan di Korea Selatan."
Sejumlah indikator bukti utama lain yang mengaitkan rangkaian kampanye peretasan berskala global ini secara langsung dengan klaster aktivitas siber Lazarus terangkum di bawah ini –
"Tindakan eksploitasi masif adalah langkah konkret berikutnya," tandas CYFIRMA. "Para operator komunikasi tersebut menyatakan bahwa mereka akan memfinalisasi daftar sasaran paling potensial pada hari yang sama sebelum menentukan kode eksploitasi publik mana yang bakal disesuaikan dan diterapkan."
Upaya Eksploitasi Lain dan Langkah Mitigasi
Dalam laporan publikasi tanggal 25 Oktober 2026 di platform media sosial X, firma Defused Cyber mengungkapkan pihaknya turut mendeteksi gelombang pengujian celah PHP2Shell yang ditujukan langsung ke sistem perangkap honeypot Palo Alto Networks GlobalProtect milik mereka. Serangan penjejakan tersebut teridentifikasi berasal dari alamat IP 204.76.203[.]7, yang dikenal luas sebagai basis eksploitasi massal.
"Rentetan permintaan web membawa penanda khusus PHP_SESSION_UPLOAD_PROGRESS (bernama 'p2s-rider') disertai berkas unggahan tiruan hampa tanpa muatan payload berbahaya, yang mengindikasikan adanya aktor yang tengah memverifikasi kelemahan respons upload-progress sembari mengompilasi daftar perangkat Palo Alto yang rentan," sebut firma intelijen ancaman siber tersebut.
Baik CVE-2026-109618 maupun CVE-2026-109619 merupakan celah kerentanan berkategori kritis yang membuka jalan bagi eksekusi kode jarak jauh secara leluasa pada konfigurasi PHP baku default. Kelemahan piranti lunak ini telah memicu lonjakan pemindaian masif di seluruh dunia, di mana penyedia layanan jaringan Cloudflare mengonfirmasi telah mencegat jutaan upaya serangan eksploitasi tidak lama setelah rincian celah bocor ke publik.
"Penyerang pada dasarnya menghadapi dua batasan teknis utama: mereka diwajibkan menyusun ukuran paket permintaan agar alokasi memori gagal pada waktu yang sangat tepat, serta harus mampu mematahkan proteksi ASLR demi menemukan alamat ruang memori yang valid," papar Datadog. "Eksploitasi menuntut suatu nama parameter field yang cukup ramping agar muat dalam batas muatan permintaan yang diizinkan, namun sekaligus cukup bervolume besar sehingga proses penggandaan kuncinya melampaui batasan konfigurasi memory_limit."
"Ketika modul PHP memproses nama parameter form, mesin sistem mengeksekusi beberapa tahap duplikasi data internal. Penyerang mengeksploitasi lonjakan konsumsi memori cadangan tersebut guna memaksa terjadinya kegagalan alokasi memori sistemik tatkala PHP mereplikasi nama ke dalam struktur hash table."
ReliaQuest, melalui buletin teknis tertanggal 22 Oktober 2026, memaparkan bahwa pihaknya berhasil mereplikasi mekanisme eksploitasi celah CVE-2026-109618 di laboratorium uji terkontrol dan menemukan kronologi galat berulang yang amat berharga bagi tim pertahanan jaringan dalam mengenali upaya serangan nyata.
"Uji coba intensif ini berhasil mengidentifikasi pola jejak artefak beruntun yang konsisten di seluruh catatan log PHP error, Apache access, Apache error, hingga log sistem operasi yang dapat menjadi acuan penting deteksi," ungkap mereka. "Tim pertahanan harus mencermati urutan spesifik ini: permintaan jenis POST menghasilkan kode galat status 500, PHP melaporkan kehabisan memori total dan korupsi pada memori heap, lalu diakhiri dengan proses worker Apache penangan trafik mengalami crash seketika."
The PHP Foundation setelahnya merilis peringatan resmi mengenai adanya kerentanan eksekusi kode jarak jauh ketiga bernomor register CVE-2026-115560, yang ditegaskan hanya "dapat termanifestasi di bawah kombinasi konfigurasi sistem dan struktur kode aplikasi yang sangat tidak lazim." Kerentanan mutakhir ini dijadwalkan bakal segera ditangani melalui pembaruan rutin pada siklus rilis piranti lunak berkala.
"Aplikasi bersangkutan harus mengonfigurasi parameter session.serialize_handler ke php_binary atau php_serialize pada berkas konfigurasinya dan kemudian mendadak mengubahnya ke opsi php saat fase runtime memakai pemanggilan fungsi ini_set() sebelum menjalankan session_start()," jelas The PHP Foundation. "Fitur pemantau session upload progress pun harus dalam kondisi aktif. Aplikasi web yang tidak pernah merombak serialize handler selama runtime dipastikan aman untuk tetap mengaktifkan kapabilitas tersebut."
Firma riset Xint telah mempublikasikan perkakas pemindai mandiri guna mengecek keterpaparan sistem host terhadap ancaman PHP2Shell, sembari menegaskan bahwasanya eksekusi kode jarak jauh terbuka lebar pada skrip PHP apa pun tanpa memandang arsitektur kerangka aplikasi, khususnya pada aplikasi yang menjalankan proses dekode semacam session_start() serta unserialize().
Hasil telaah global yang dirilis Bitsight memperlihatkan setidaknya ada hampir 37 juta mesin server yang terhubung langsung ke internet publik masih menjalankan PHP atau perangkat lunak berbasis PHP, dengan porsi keterpaparan paling masif terkonsentrasi di Amerika Serikat, Jerman, Prancis, Belanda, dan Jepang.
"PHP menopang fondasi sebagian besar ekosistem web modern saat ini, mulai dari aplikasi CMS dan toko online hingga instrumen internal perusahaan," papar analis Bitsight. "Kelemahan fatal pada level runtime mesin tidak akan bisa dipulihkan sekadar dengan merombak kode program aplikasi web, dan kehadiran firewall WAF maupun pembaruan plugin biasa tidak akan pernah mampu menuntaskannya. Hanya pembaruan menyeluruh pada paket inti PHP di peladen host itu sendiri yang sanggup menutup celah ancaman ini."
