Sejumlah pelaku kejahatan siber dilaporkan mulai memanfaatkan platform kecerdasan buatan bertipe otonom atau agentic artificial intelligence guna memuluskan aksi pasca-eksploitasi setelah membobol kerentanan PHP2Shell yang tercatat secara resmi dengan identitas CVE-2026-109618 serta CVE-2026-109619.
"Dalam salah satu insiden nyata, pihak peretas mengarahkan serangan terhadap sebuah lembaga pemerintahan yang berada di benua Eropa, dan hanya dalam kurun waktu dua jam pasca-eksploitasi perdana terjadi, mereka sudah berhasil mengambil serangkaian hash kata sandi beserta rahasia autentikasi multifaktor," demikian konfirmasi dari divisi investigasi Unit 42 milik Palo Alto Networks.
"Komplotan penyerang tersebut juga membangun jalur terowongan berbasis relai NT LAN Manager (NTLM) yang menembus masuk ke dalam infrastruktur Active Directory, lalu melancarkan upaya peningkatan hak akses hingga ke level Domain Admin."
Perusahaan pertahanan sistem keamanan jaringan terkemuka ini mengabarkan bahwa mereka mendeteksi aktor penyusup anonim tersebut melakukan tahapan enumerasi secara ekstensif terhadap titik akhir sistem yang telah dibobol, di mana rangkaian baris perintah eksekusi dan penanda perilaku forensik di dalamnya sangat mengarah pada corak operasional suatu entitas penyerang berteknologi kecerdasan buatan agenik. Tahapan aktivitas berbahaya tersebut mencakup barisan perintah khusus untuk mendukung kebutuhan –
Pengintaian mendalam terhadap basis data otorisasi dan autentikasi dengan memanfaatkan kredensial yang sebelumnya dicuri, dengan tujuan utama merampas hash kata sandi pengguna serta seluruh data rahasia autentikasi dua faktor (2FA).
Pengintaian terhadap lingkungan Active Directory (AD) melalui pemanfaatan kueri LDAP tanpa autentikasi atau anonim berbasis utilitas perintah curl yang ditembakkan secara langsung menuju perangkat pengontrol domain (DC) dalam rangka memburu akun pengendali administrator.
Pengintaian menyeluruh terhadap mesin induk guna mencari keterhubungan integrasi antara DNS dengan direktori aktif, memeriksa host jaringan internal, menelusuri kelompok pengguna berhak akses tinggi, serta melacak para pengguna interaktif.
"Setiap paket pengiriman perintah dibungkus rapi oleh pembatas kepala seksi khusus, misalnya penanda ==SHELLUSER== serta penanda ==PASSWD==," ungkap tim peneliti menambahkan rincian temuannya. "Pola penggunaan pembatas unik semacam ini sengaja dirancang untuk menghasilkan keluaran data berformat terstruktur yang dapat diproses dan dibaca secara langsung oleh mesin pemodelan kecerdasan buatan."
Dugaan Operasi Asal Korea Utara Bidik Kerentanan PHP2Shell
Paparan informasi ancaman siber tersebut mencuat bersamaan dengan rilis laporan CYFIRMA yang menyatakan pihaknya telah mengungkap indikasi kampanye intrusi terafiliasi Korea Utara yang memanfaatkan kelemahan PHP2Shell guna menyisir infrastruktur server PHP di tataran global melalui pengoperasian sebanyak 21 simpul node perantara yang sebelumnya telah disusupi.
"Aktivitas pemindaian sengaja diatur pada intensitas volume yang sangat rendah serta ritme kecepatan yang terjaga perlahan," tutur Kumar Ritesh selaku CEO sekaligus pendiri firma keamanan siber CYFIRMA saat memberikan keterangan kepada The Hacker News. "Setiap simpul operasional akan segera dirotasi secara berkala dan langsung ditinggalkan begitu muncul tanda awal adanya pemblokiran atau pembatasan frekuensi akses lalu lintas jaringan, sehingga mekanisme peringatan otomatis berbasis batas ambang normal hampir dipastikan tidak akan mampu mendeteksi keberadaannya."
Target pemindaian tersebut mencakup sebanyak 216 peladen yang belum ditambal atau baru mendapatkan langkah mitigasi separuh jalan, yang berlokasi secara geografis di berbagai wilayah mencakup Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan sejumlah negara Uni Eropa. Fasilitas peladen yang disasar tersebut tersebar luas di sektor instansi pemerintahan, industri finansial, sektor rantai pasok dan logistik, infrastruktur bandar udara serta aviasi, sektor manufaktur perindustrian, hingga layanan transaksi digital daring.
"Operasi siber tersebut kini telah mengalami pergeseran taktik dari tahap pengumpulan intelijen dasar beralih menjadi aktivitas pemindaian berintensitas rendah dan lambat yang dilakukan secara aktif terhadap kumpulan sasaran yang telah difilter," imbuh CYFIRMA. "Bagi setiap entitas korporasi maupun instansi yang berada di dalam sektor industri prioritas serta wilayah geografis sasaran tersebut, sangat disarankan untuk mengasumsikan bahwa infrastruktur mereka telah masuk ke dalam daftar pengintaian terencana."
Aktivitas digital tersebut dikoordinasikan menggunakan kanal tertutup berbasis jaringan anonim I2P, dan dengan tingkat keyakinan moderat telah diatribusikan kepada seorang operator berbahasa Korea yang diduga kuat bernaung di bawah payung ekosistem sindikat peretas Lazarus Group. Mengacu pada data hasil temuan tim CYFIRMA, terdapat dua identitas pengguna aktif di kanal I2P tersebut, yakni akun (전창혁 2 alias Jeon Chang-hyuk 2) serta akun (최아린 alias Choi A-rin), yang mana kedua nama samaran ini sebelumnya pernah tercatat mengendalikan serangkaian operasi rahasia bagi kelompok ancaman bersangkutan.
"Operator yang berkomunikasi dalam bahasa Korea tersebut memanfaatkan [saluran perpesanan rahasia itu] guna saling berbagi lembar daftar sasaran buruan, menyebarkan tautan infrastruktur peladen hosting modul eksploitasi, serta mengatur delegasi tugas dan penentuan skala prioritas penyerangan yang selaras dengan garis tujuan strategis rezim DPRK," kata Ritesh menerangkan lebih jauh. "Rangkaian percakapan teks yang berhasil dicegat memperlihatkan struktur kosakata linguistik dan gaya ejaan khas standar North Korean (Munhwaŏ) alih-alih bahasa Korea yang lazim digunakan di Korea Selatan."
Beberapa parameter indikator teknis utama lainnya yang memperkuat keterkaitan kampanye berbahaya ini dengan klaster operasi kejahatan Lazarus dirangkum pada rincian berikut –
"Eksekusi tindakan eksploitasi merupakan langkah operasional berikutnya," tegas pihak CYFIRMA. "Para operator peretas secara terbuka menyatakan bakal menyortir target paling potensial pada hari yang sama, untuk selanjutnya menentukan paket perangkat eksploitasi publik mana yang paling sesuai untuk diadaptasikan ke sistem korban."
Berbagai Upaya Eksploitasi Tambahan Beserta Panduan Mitigasi
Melalui publikasi status di platform X bertanggal 25 Oktober 2026, firma keamanan siber Defused Cyber mengungkapkan pihaknya turut mendeteksi adanya aktivitas pengujian kerentanan PHP2Shell yang sengaja ditujukan menyasar perangkap honeypot Palo Alto Networks GlobalProtect kelolaan mereka. Rangkaian aktivitas serangan tersebut terpantau bersumber dari alamat protokol internet 204.76.203[.]7, yang telah dikenal luas sebagai alamat IP yang kerap digunakan untuk melancarkan serangan eksploitasi massal.
"Permintaan data jaringan tersebut memuat penanda khusus bernama PHP_SESSION_UPLOAD_PROGRESS (berlabel 'p2s-rider') disertai berkas muatan palsu berukuran semu tanpa muatan kode perusak nyata, di mana pola ini mengindikasikan adanya pihak yang tengah memverifikasi kelemahan penanganan fitur progres unggahan berkas sekaligus bertujuan menyusun daftar sasaran inventaris perangkat Palo Alto yang rentan," tutur perusahaan intelijen ancaman siber tersebut.
Dua celah keamanan yang terdaftar dengan kode CVE-2026-109618 dan CVE-2026-109619 merupakan kerentanan berisiko kritis tingkat tinggi yang mampu memicu terjadinya eksekusi kode berbahaya dari jarak jauh pada konfigurasi default perangkat lunak PHP. Lubang keamanan fatal ini telah memancing gelombang operasi pemindaian berskala global yang amat masif, di mana perusahaan infrastruktur Cloudflare menyatakan telah mendeteksi terjadinya jutaan kali upaya penyerangan secara bertubi-tubi sesaat sesudah informasi kerentanan tersebut dibeberkan kepada publik luas.
"Pihak peretas yang hendak mengeksploitasi celah ini menghadapi dua batasan teknis yang krusial: mereka harus mampu mengatur takaran ukuran paket permintaan data secara presisi agar alokasi memori mengalami kegagalan tepat pada waktu yang diinginkan, dan mereka pun diwajibkan menjebol sistem proteksi ASLR agar dapat memetakan alamat memori fisik yang valid," papar perwakilan Datadog. "Muatan eksploitasi menuntut keberadaan suatu nama kolom isian formulir yang berukuran cukup ringkas agar dapat lolos dan masuk ke dalam badan permintaan data yang diizinkan sistem, namun secara bersamaan harus memiliki ukuran yang cukup masif saat proses penyalinan kunci berlangsung agar melampaui limitasi memory_limit."
"Tatkala sistem PHP melakukan penguraian terhadap nama ruas isian dari suatu formulir web, program tersebut melakukan serangkaian proses duplikasi data secara berulang di sepanjang alurnya. Pelaku penyerangan lantas memanipulasi konsumsi ruang memori berlebih tersebut guna memicu kegagalan alokasi memori internal persis di saat mesin PHP tengah berupaya menyalin nama ruas isian itu ke dalam tabel pencacah atau hash table."
Firma ReliaQuest, lewat lembar buletin pembaruan keamanan yang dirilis pada tanggal 22 Oktober 2026, mengonfirmasi bahwa mereka telah berhasil mereproduksi mekanisme serangan CVE-2026-109618 di dalam laboratorium pengujian yang terkendali, dan berhasil mendokumentasikan serangkaian rentetan galat sistem yang amat berguna bagi para analis pertahanan jaringan dalam mengidentifikasi adanya upaya pembobolan sistem secara dini.
"Rangkaian pengujian terukur ini berhasil mengidentifikasi pola jejak artefak secara spesifik yang muncul melintasi berkas catatan galat sistem PHP, berkas log akses peladen web Apache, catatan rekaman galat Apache, serta catatan kejadian sistem operasi yang secara efektif dapat memandu tim analis pertahanan mendeteksi manuver eksploitasi," terang institusi tersebut. "Para petugas pertahanan keamanan siber hendaknya memusatkan perhatian pada urutan kronologis berikut: sebuah kiriman permintaan POST memicu kembalinya kode galat status 500, lalu mesin PHP mengeluarkan laporan kehabisan kuota memori dan kerusakan tumpukan heap, yang kemudian disusul dengan terjadinya gangguan lumpuh total atau crash pada unit worker peladen web Apache yang memproses alur permintaan tersebut."
Di sisi lain, yayasan pengembang resmi The PHP Foundation kini telah mengeluarkan peringatan darurat terkait ditemukannya celah keamanan eksekusi kode jarak jauh ketiga yang dikatalogkan sebagai CVE-2026-115560, yang mana kerentanan lanjutan ini hanya dapat "terpicu apabila terjadi perpaduan konfigurasi sistem yang tidak lazim yang bersinggungan langsung dengan kode aplikasi bersangkutan." Penanganan terhadap masalah teknis ini direncanakan bakal disertakan secara bertahap lewat perilisan siklus pembaruan reguler berikutnya.
"Aplikasi korban harus dikonfigurasikan dengan menyetel nilai session.serialize_handler ke mode php_binary atau pilihan php_serialize di dalam berkas pengaturannya, lalu parameter tersebut diubah menjadi php saat program berjalan di level runtime lewat pemanggilan fungsi bawaan runtime bernama fungsi konfigurasi dinamis pemanggilan sebelum instruksi session_start() dijalankan," jelas pihak PHP Foundation. "Di samping itu, fungsi pemantauan progres unggahan sesi atau session upload progress wajib dalam status aktif. Adapun bagi arsitektur aplikasi perangkat lunak yang tidak pernah mengubah mekanisme penanganan serialisasi pada tahapan waktu eksekusi runtime, fitur fungsionalitas tersebut dapat tetap dibiarkan aktif secara aman."
Perusahaan riset keamanan siber Xint telah merilis perkakas pemindai mandiri yang bertujuan untuk mempermudah administrator mengevaluasi apakah mesin server mereka terpapar oleh eksploitasi PHP2Shell, sembari menegaskan kembali bahwa peluang eksekusi kode jarak jauh dapat terjadi pada berkas skrip PHP mana pun terlepas dari apa pun jenis aplikasinya, terutama di dalam arsitektur aplikasi web yang di dalamnya menjalankan proses penguraian data biner kompleks, seperti halnya rutinitas fungsi session_start() serta fungsi bawaan pembongkaran data unserialize().
Hasil survei komprehensif penelusuran internet global yang dijalankan oleh Bitsight memperlihatkan temuan mencengangkan bahwa ada hampir 37 juta sistem komputer yang terhubung langsung ke jaringan publik masih mengoperasikan perangkat lunak PHP atau varian aplikasi lain yang saling terhubung erat dengannya, di mana konsentrasi keterpaparan kerentanan terbesar terkumpul di teritorial Amerika Serikat, Jerman, Prancis, Belanda, serta Jepang.
"PHP merupakan pondasi penopang yang menjalankan porsi terbesar dari ekosistem website di seluruh dunia, mulai dari platform manajemen konten situs, sistem perdagangan toko digital, hingga perkakas kerja internal yang dirancang khusus," tegas Bitsight dalam kajiannya. "Cacat celah logika yang berakar langsung pada mesin lingkungan runtime penerjemah kode bahasa tersebut mustahil dapat diperbaiki hanya dengan merombak kode program aplikasi semata, dan kehadiran firewall aplikasi web (WAF) maupun pemasangan pembaruan modul plugin biasa tidak akan mampu mengeliminasi ancaman ini secara tuntas. Satu-satunya jalan keluar yang benar-benar efektif menutup lubang kerentanan tersebut adalah dengan melakukan pembaruan versi paket biner PHP itu sendiri secara menyeluruh langsung pada mesin server utama sistem yang bersangkutan."