Sejumlah pelaku ancaman siber terpantau memanfaatkan platform kecerdasan buatan otonom atau agentic artificial intelligence (AI) untuk melancarkan serangkaian aktivitas pasca-eksploitasi berbahaya. Operasi siber ini berjalan mulus menyusul penyalahgunaan celah keamanan kritis PHP2Shell yang saat ini dikatalogkan secara resmi sebagai CVE-2026-109618 dan CVE-2026-109619.
"Dalam salah satu insiden, para peretas mengarahkan serangan mereka terhadap sebuah entitas pemerintah di wilayah Eropa, dan hanya dalam rentang waktu dua jam pasca-eksploitasi tahap awal, mereka telah sukses memperoleh akses menuju hash kata sandi serta rahasia autentikasi multifaktor," tutur unit intelijen ancaman Palo Alto Networks Unit 42 dalam pengumumannya.
"Mereka pun berhasil membangun sebuah terowongan perantara NT LAN Manager (NTLM)-relay langsung ke dalam infrastruktur Active Directory, sekaligus berupaya keras memicu eskalasi hak istimewa ke tingkatan Domain Admin," lanjut laporan lembaga riset keamanan siber terkemuka tersebut.
Perusahaan pertahanan jaringan itu menambahkan bahwa mereka turut mencatat aksi penyerang tak dikenal saat melakukan enumerasi mendalam pada sistem endpoint yang telah berhasil dibobol. Serangkaian perintah baris kode dan penanda perilaku operasional mengindikasikan secara kuat keterlibatan penyerang otonom berbasis model AI cerdas. Pola eksekusi ini mencakup berbagai macam instruksi terstruktur untuk memfasilitasi langkah berikut –
Pengintaian komprehensif pada basis data autentikasi internal menggunakan kredensial yang sebelumnya dicuri, dengan tujuan utama meraup tumpukan hash kata sandi rahasia beserta kunci pengaman otentikasi dua faktor (2FA).
Pengintaian pada sistem Active Directory (AD) melalui serangkaian permintaan anonim LDAP berbasis utilitas curl yang diarahkan menuju domain controller (DC) guna melacak eksistensi akun administrator tertinggi.
Pengintaian mendalam terhadap server host sasaran untuk mendeteksi integrasi DNS/AD, daftar host jaringan internal, kelompok grup berhak istimewa, hingga pengguna interaktif yang sedang beroperasi di dalam sistem.
"Setiap kumpulan perintah yang dikirimkan selalu dibungkus menggunakan pembatas tajuk bagian tertentu, misalnya penanda ==SHELLUSER== serta ==PASSWD==," ungkap tim peneliti menambahkan rincian temuannya. "Pola penggunaan pembatas unik ini dirancang sengaja untuk menghasilkan keluaran teks terstruktur yang mudah diproses secara otomatis oleh mesin agar dapat dibaca langsung oleh model AI."
Dugaan Kampanye Peretasan Korea Utara Menargetkan Kerentanan PHP2Shell
Pengungkapan temuan mengejutkan ini muncul bersamaan dengan laporan dari CYFIRMA, yang menyatakan berhasil membongkar kampanye ofensif yang diduga kuat terafiliasi dengan negara Korea Utara. Pelaku memanfaatkan bug PHP2Shell demi menyelidiki secara aktif ketahanan infrastruktur PHP global memanfaatkan jaringan 21 simpul server yang telah disusupi sebelumnya.
"Aktivitas pemindaian sengaja diatur pada volume sangat rendah serta dilakukan secara bertahap dan terukur," ujar Kumar Ritesh, selaku CEO sekaligus pendiri firma keamanan siber CYFIRMA, saat diwawancarai oleh media The Hacker News. "Setiap simpul secara bergantian dirotasi lalu segera ditinggalkan saat muncul tanda awal pemblokiran atau pembatasan laju trafik, sehingga sistem peringatan berbasis ambang batas konvensional hampir pasti gagal mendeteksinya."
Kumpulan target potensial ini mencakup sekitar 216 server host yang belum ditambal atau baru dimitigasi sebagian, tersebar di berbagai belahan dunia termasuk Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, hingga kawasan Uni Eropa. Sektor yang dibidik mencakup lembaga pemerintahan, institusi perbankan dan finansial, perusahaan logistik, bandara dan penerbangan komersial, pabrik manufaktur, serta platform transaksi daring terkemuka.
"Kampanye spionase siber ini sekarang telah beralih dari fase pengintaian menuju pemindaian aktif berkecepatan rendah terhadap kelompok sasaran yang telah difilter," tulis perwakilan CYFIRMA dalam evaluasi teknis mereka. "Organisasi yang bergerak dalam sektor prioritas serta berada di wilayah geografis tersebut harus segera berasumsi bahwa mereka masuk dalam target incaran sengaja."
Operasi siber berbahaya yang dikoordinasikan secara tertutup melalui saluran terenkripsi jaringan I2P ini diatribusikan dengan tingkat keyakinan moderat kepada seorang operator berbahasa Korea yang dinilai terhubung erat dalam ekosistem peretas Lazarus Group. Berdasarkan catatan intelijen CYFIRMA, dua nama alias pengguna yakni (전창혁 2 alias Jeon Chang-hyuk 2) serta (최아린 alias Choi A-rin) yang terpantau aktif dalam ruang I2P tersebut sebelumnya pernah teridentifikasi mengendalikan sejumlah operasi rahasia bagi kelompok peretas negara itu.
"Para operator penutur bahasa Korea telah memanfaatkan platform saluran tersebut guna membagikan daftar target potensial, infrastruktur penampung kode eksploitasi, serta pembagian tugas maupun penentuan skala prioritas penyerangan yang selaras dengan kepentingan strategis DPRK," jelas Ritesh. "Rekaman percakapan internal yang berhasil kami amankan memperlihatkan struktur kosakata serta ejaan khas Korea Utara (Munhwaŏ), alih-alih bahasa Korea standar yang umum dipakai di Korea Selatan."
Adapun indikator utama lainnya yang memperkuat keterkaitan kampanye berbahaya ini secara langsung dengan kluster aktivitas Lazarus Group terangkum di bawah ini –
"Pelaksanaan eksploitasi merupakan langkah berikutnya dalam skenario mereka," tegas pihak CYFIRMA mengingatkan. "Para operator menyatakan bakal merampungkan daftar pendek dari target paling menjanjikan pada hari yang sama, sebelum akhirnya memutuskan varian eksploitasi publik mana yang siap mereka modifikasi dan adaptasikan."
Upaya Eksploitasi Alternatif Serta Langkah Penting Mitigasi
Dalam publikasi tertanggal 25 Oktober 2026 yang dibagikan melalui platform media sosial X, firma analisis Defused Cyber menyebutkan bahwa mereka pun mengamati adanya gelombang uji coba PHP2Shell yang sengaja ditujukan pada sistem perangkap honeypot Palo Alto Networks GlobalProtect milik mereka. Gelombang serangan ini terlacak bersumber dari alamat IP 204.76.203[.]7, yang telah dikenal luas sebagai sarang eksploitasi massal.
"Setiap permintaan HTTP membawa penanda khusus PHP_SESSION_UPLOAD_PROGRESS bertuliskan (‘p2s-rider’) disertai proses unggahan berkas semu tanpa muatan payload, di mana pola ini menunjukkan adanya pihak yang tengah memeriksa kerentanan perilaku upload-progress sembari membangun daftar sasaran perangkat Palo Alto," papar perusahaan intelijen ancaman tersebut.
Celah CVE-2026-109618 dan CVE-2026-109619 merupakan kerentanan berisiko kritis yang mampu membuka celah eksekusi kode jarak jauh (RCE) pada konfigurasi bawaan PHP. Cacat keamanan ini memicu maraknya upaya pemindaian massal di internet, di mana Cloudflare melaporkan telah berhasil menyaring dan mendeteksi jutaan percobaan eksploitasi sesaat setelah rincian kelemahan tersebut dipublikasikan ke publik.
"Seorang penyerang menghadapi dua batasan teknis utama: mereka diwajibkan menyusun ukuran paket permintaan agar alokasi memori gagal tepat pada waktunya, serta harus berhasil menembus proteksi ASLR demi menemukan alamat memori yang valid," papar Datadog dalam keterangannya. "Metode eksploitasi membutuhkan setidaknya satu nama bidang form yang cukup kecil agar muat di dalam batas tubuh permintaan yang diterima server, namun sekaligus cukup besar agar penyalinan kuncinya melampaui batasan batas memory_limit sistem."
"Ketika parser PHP memproses nama bidang formulir, sistem akan membuat beberapa salinan duplikat di sepanjang prosesnya. Penyerang memanfaatkan kebutuhan alokasi memori tambahan tersebut untuk memaksakan terjadinya kegagalan alokasi memori tatkala PHP menyalin nama field ke dalam struktur tabel hash," sambung perwakilan tim analis tersebut.
ReliaQuest, melalui pembaruan laporan teknis yang dirilis pada 22 Oktober 2026, menerangkan bahwa pihaknya sukses mereplikasi eksploitasi CVE-2026-109618 di laboratorium terkendali dan mendokumentasikan pola urutan kesalahan krusial yang dapat membantu para pembela jaringan mengenali terjadinya upaya peretasan.
"Pengujian mendalam ini berhasil mengidentifikasi runtutan artefak forensik tertentu yang tersebar pada berkas log error PHP, catatan akses Apache, log error Apache, serta catatan sistem operasi secara menyeluruh guna mendeteksi ancaman," jelasnya. "Para petugas keamanan siber disarankan berfokus pada urutan kejadian berikut: permintaan metode POST menghasilkan kode error 500, modul PHP melaporkan terjadinya kehabisan alokasi memori dan kerusakan heap memory, disusul oleh berhentinya atau tumbangnya proses Apache worker yang melayani permintaan itu."
Di sisi lain, The PHP Foundation sejak saat itu juga telah merilis peringatan resmi mengenai kerentanan eksekusi kode jarak jauh ketiga yang teridentifikasi sebagai CVE-2026-115560, kendati kelemahan ini hanya dapat "terjadi di bawah kombinasi konfigurasi lingkungan dan kode aplikasi internal yang sangat tidak lazim." Masalah keamanan terbaru tersebut direncanakan bakal diperbaiki sepenuhnya lewat agenda siklus pembaruan reguler aplikasi.
"Sebuah aplikasi rentan bilamana ia menetapkan parameter konfigurasi session.serialize_handler ke php_binary atau php_serialize, kemudian mendadak mengubahnya ke setelan php saat sistem sedang beroperasi secara runtime melalui perintah fungsi internal ini_set() tepat sebelum memanggil fungsi session_start()," urai pihak Foundation. "Selain itu, fungsionalitas Session upload progress wajib dalam kondisi aktif. Aplikasi perangkat lunak yang sama sekali tidak pernah mengubah konfigurasi serialize handler saat berjalan di tahap runtime dapat terus membiarkan fitur tersebut aktif secara aman."
Firma riset siber Xint belakangan ini telah meluncurkan alat pemindai khusus untuk memeriksa apakah suatu server host rentan terhadap eksploitasi PHP2Shell. Mereka menegaskan potensi eksekusi kode jarak jauh tetap terbuka di setiap file skrip PHP tanpa memandang jenis aplikasi yang digunakan, utamanya pada aplikasi web yang melakukan operasi penguraian data sensitif seperti eksekusi session_start() maupun penerapan unserialize().
Berdasarkan hasil pemindaian komprehensif internet oleh Bitsight, terdata bahwa saat ini ada hampir 37 juta sistem komputer yang langsung terhubung ke jaringan internet menjalankan ekosistem PHP atau perangkat lunak turunan PHP, dengan konsentrasi sebaran kerentanan terbesar terpantau berada di wilayah Amerika Serikat, Jerman, Prancis, Belanda, dan Jepang.
"Teknologi PHP saat ini menjadi fondasi utama yang menggerakkan porsi terbesar situs web global, mulai dari platform manajemen konten open-source, gerai toko daring e-commerce, hingga aplikasi perkakas internal khusus perusahaan," pungkas Bitsight. "Cacat keamanan mendasar pada runtime bahasa pemrograman semacam ini mustahil dapat ditambal semata-mata dengan memodifikasi baris kode aplikasi web, bahkan pemasangan web application firewall maupun pembaruan plugin tambahan tidak akan menuntaskan masalah secara permanen. Satu-satunya jalan efektif untuk menutup celah bahaya ini secara totalitas hanyalah dengan memperbarui instalasi paket PHP secara langsung di server host yang bersangkutan."
About the Author
