Pelaku ancaman siber yang belum teridentifikasi telah berhasil menyusupi sebanyak 953 toko online, yang sebagian besar di antaranya mengoperasikan platform e-commerce Magento. Aktivitas peretasan terorganisasi ini merupakan bagian dari operasi berskala luas yang terus aktif beroperasi sejak Juli 2025 lalu.
Berdasarkan laporan perusahaan keamanan e-commerce asal Belanda, Sansec, pola serangan ini dirancang untuk menyisipkan sebaris kode ringkas ke dalam laman toko sasaran. Kode tersebut bekerja secara senyap saat pengunjung biasa membuka situs, lalu memanggil skrip pemuat JavaScript berbahaya yang disembunyikan melalui blok CMS Magento.
"Ketika Anda membuka halaman tersebut, kodenya segera memerintahkan peramban pengguna untuk meminta instruksi lanjutan dari server pengendali milik komplotan," ungkap pihak Sansec. "Server mereka secara otomatis memverifikasi terlebih dahulu apakah Anda pembeli manusia sungguhan atau robot pemindai keamanan, sehingga alat pemindai tidak menerima data apa pun."
Hingga saat ini, sedikitnya lima alamat domain berbeda telah dipantau secara berkala memiliki keterkaitan langsung dengan rangkaian kampanye serangan siber berkelanjutan tersebut –
Pihak Sansec mengungkapkan bahwa mereka mendeteksi keberadaan domain deepveindrilling[.]com pada baris blok CMS milik 83 situs toko online aktif sejak domain mencurigakan itu pertama kali didaftarkan pada 6 Oktober 2026.
Alamat domain pemuat JavaScript versi mutakhir ini disembunyikan di balik jaringan Cloudflare dan diprogram agar hanya merespons permintaan skrip dari pengunjung asli toko yang telah terinfeksi. Komponen pemuat disusupkan langsung ke dalam tabel database cms_block Magento, yang biasanya dipakai mengelola tampilan konten statis pada etalase toko.
Tujuan utama dari operasi peretasan ini adalah mengeksekusi serangkaian instruksi kode yang dikendalikan peretas secara otomatis begitu blok CMS selesai dirender ketika konsumen membuka laman web yang telah disusupi.
Meskipun pihak Sansec tidak merinci secara spesifik apakah penyerang memodifikasi elemen CMS yang sudah ada (seperti bagian header, footer, atau spanduk promosi) ataupun sengaja membuat blok baru, pelaku dapat menerapkan kedua metode tersebut guna menjalankan skrip pemuat.
Dua varian pemuat berbeda telah berhasil diidentifikasi di lapangan. Pada varian pertama, skrip JavaScript eksternal yang dipanggil dari server penyerang akan menyimpan muatan berbahaya di dalam media localStorage peramban. Pengaturan ini membuat muatan yang tersimpan dapat dieksekusi ulang pada kunjungan berikutnya, bahkan ketika domain eksternal milik pelaku sedang tidak aktif.
Sementara itu, varian kedua mengembangkan metode tersebut dengan menambahkan mekanisme pemeriksaan sidik jari peramban untuk menyaring bot maupun scanner keamanan, sekaligus memastikan hanya pembeli asli yang terpapar kode berbahaya. Rincian pasti mengenai tujuan muatan akhir tersebut hingga kini masih belum diketahui.
Pada fase awal kampanye, pelaku terpantau memanfaatkan Keitaro, yakni platform analitik pelacak iklan, sebagai sistem distribusi lalu lintas (TDS) untuk mengarahkan pengguna ke berbagai respon berbeda—seperti mengirimkan muatan, mengalihkan alamat, atau tidak merespons—tergantung pada karakteristik perangkat.
Sansec menjelaskan bahwa upaya mengakses skrip additionalver[.]com menggunakan peramban desktop Windows hanya memberikan respons teks "QWE=123;," yang praktis tidak memicu apa pun selain memasang kuki pelacak berdurasi 24 jam. Sebaliknya, domain deepveindrilling[.]com meniadakan ketergantungan pada Keitaro dan menanamkan logika pemilah bot langsung ke dalam skrip pemuatnya.
Terkait celah awal penyusupan, sekitar 471 toko online Magento diperkirakan terinfeksi oleh muatan pemuat ini melalui eksploitasi kerentanan PolyShell (dikenal sebagai CVE-2026-48356). Sebanyak 102 toko lainnya dilaporkan mengalami pengunggahan berkas ilegal melalui kelemahan PolyShell atau kerentanan SessionReaper (dikenal sebagai CVE-2025-54236).
"Sebuah toko bersistem Magento 2.4.7-p1 kedapatan menyimpan webshell PolyShell yang disamarkan sebagai gambar berformat PNG di direktori pub/media/custom_options/quote/, berdampingan dengan skrip loader additionalver.com di blok CMS," jelas Sansec. "Blok itu berganti memakai deepveindrilling[.]com pada 7 Oktober. Toko ini belum menerapkan pembaruan APSB26-73, yang merupakan tambalan PolyShell dari Adobe."
Pada insiden lainnya, sebuah toko online yang memakai Magento 2.4.7-p10 tanpa kelalaian tambalan inti berhasil disusupi lewat pembuatan akun administrator ilegal, yang kemudian disalahgunakan untuk menyuntikkan kode jahat.
Pengelola situs e-commerce sangat disarankan untuk memeriksa secara teliti akun pengguna yang mencurigakan dan blok CMS aneh pada tabel cms_block serta cms_page, sembari rutin memperbarui sistem dan menerapkan kata sandi yang kuat.
Pengungkapan kasus ini mencuat bersamaan dengan munculnya ancaman PHP2Shell, sepasang kerentanan kritis pada platform PHP (CVE-2026-109618 dan CVE-2026-109619) yang mengalami lonjakan eksploitasi masif tak lama setelah diumumkan pekan lalu.
Kendati demikian, peneliti keamanan Perplexity, Adel Karimi, telah mencatatkan dugaan eksploitasi aktif perdana di dunia nyata yang berhasil mengeksekusi perintah shell pada peladen honeypot. Perintah tersebut terpantau mengandalkan utilitas wget, curl, atau antarmuka PHP CLI guna mengunduh muatan tambahan dari peladen jarak jauh beralamat "162.35.99[.]94:80". Hingga saat ini belum ditemukan artefak tahap kedua yang berhasil terunduh.
About the Author
