PHP2Shell Dieksploitasi, Firewall Pemerintah AS Berhasil Ditembus

Telset.id – Kerentanan PHP2Shell akhirnya benar-benar dieksploitasi. Peneliti keamanan siber Dream melaporkan kompromi pertama yang terkonfirmasi terhadap kerentanan tersebut, dengan sasaran organisasi yang terafiliasi dengan pemerintah Amerika Serikat. Serangan ini menandai berakhirnya periode ketika PHP2Shell hanya menjadi ancaman teoretis tanpa korban yang terverifikasi.

Menurut laporan Dream, pelaku ancaman asal China berhasil merangkai PHP2Shell dengan celah eskalasi hak istimewa pada kernel Linux untuk menyerang firewall Palo Alto Networks. Serangan tersebut menembus 25 server, sebagian di antaranya disebut milik organisasi yang berafiliasi dengan pemerintah AS. Rangkaian serangan dimulai pada 23 Oktober 2026 dengan melakukan probing terhadap perusahaan di AS, Jepang, Taiwan, dan Korea Selatan, sebelum akhirnya berfokus pada perangkat berbasis PAN-OS milik Palo Alto Networks yang menjalankan versi OS lama yang rentan.

PHP2Shell sendiri adalah nama yang diberikan untuk dua kerentanan berseveritas kritis pada PHP. Saat pertama kali diungkap, sebagian besar komunitas keamanan siber panik karena PHP menggerakkan sekitar 70% dari seluruh situs web dan aplikasi web di internet, sementara patch belum tersedia. Celah ini disebut memungkinkan pengambilalihan situs web secara total, dan sejumlah organisasi pemerintah serta pendidikan di Eropa bahkan lebih dulu menutup situs web mereka untuk mengantisipasi upaya eksploitasi massal.

Dari Jutaan Percobaan Menjadi Root Access

Setelah kepanikan awal mereda, terjadi hal yang tak biasa: tidak ada serangan sukses. Peneliti hanya melihat upaya dan probing, tanpa satu pun kompromi berhasil. Amazon menyatakan mengamati serangan pertama empat hari sebelum patch dirilis, sementara Cloudflare kemudian melacak ribuan upaya dalam 10 jam sebelum patch diumumkan. Jumlah itu meningkat menjadi puluhan ribu dalam satu jam setelah pengungkapan, ratusan ribu dalam dua jam, dan kini telah mencapai jutaan.

Sebagian pihak menilai eksploitasi bug tersebut lebih sulit dilakukan daripada yang diperkirakan, karena pelaku ancaman menabrak berbagai hambatan, termasuk Address Space Layout Randomization, fitur keamanan yang mengubah lokasi penyimpanan kode dan data program di memori secara acak setiap kali dijalankan. Meski demikian, mereka memperingatkan bahwa kondisi itu mungkin hanya sementara dan keberhasilan serangan adalah soal “kapan”, bukan “jika”.

Kini klaim tersebut terbukti tepat. Dream menyebut pelaku merangkai PHP2Shell dengan Fragnesia, celah eskalasi hak istimewa lokal yang memungkinkan pengguna tanpa hak istimewa memperoleh akses root. Celah ini diungkap pada pertengahan Mei tahun ini dan dilacak sebagai CVE-2026-46300. Setelah berhasil masuk ke perangkat, penyerang menjalankan sekitar 40 skrip pasca-eksploitasi kustom.

“Dalam hitungan jam setelah mengompromikan firewall yang berafiliasi dengan pemerintah AS, mereka telah membuat terowongan ke jaringan internal, mengompromikan server ketiga menggunakan eksploit PHP2Shell yang sama, dan meluncurkan kampanye serangan Active Directory penuh — semuanya melalui rantai yang dimulai dari satu permintaan HTTPS tanpa autentikasi ke antarmuka manajemen yang seharusnya tidak pernah terekspos ke internet,” demikian bunyi laporan perusahaan tersebut.

Yang lebih mengkhawatirkan, peneliti meyakini penyerang masih memiliki akses tanpa hambatan. “Rantai total — dari koneksi HTTPS tanpa autentikasi hingga webshell root yang persisten — selesai dalam waktu kurang dari 15 menit,” kata Dream. Peneliti tidak dapat memastikan apa tujuan akhir serangan karena informasi tersebut tidak ditemukan dalam artefak yang mereka kumpulkan. Selain akses persisten dan pencurian kredensial, pelaku ancaman berpotensi melakukan apa saja, mulai dari menanam backdoor hingga mengeksfiltrasi informasi sensitif.

Jejak AI dan 19.000 Firewall

Dalam konteks “Black October” dan meningkatnya serangan otomatis secara signifikan, insiden ini disebut kemungkinan besar tidak sepenuhnya digerakkan AI. Dream menemukan bukti penggunaan AI, tetapi menilai serangan tidak sepenuhnya otomatis. Claude Code terpasang di sistem penyerang, begitu pula platform keamanan ofensif bernama AIscan yang dikonfigurasi dengan model AI China, DeepSeek dan Kimi.

Selain itu, peneliti menemukan API key untuk FOFA, padanan Shodan asal China. Dengan bantuan FOFA, penyerang disebut mengidentifikasi sekitar 19.000 firewall Palo Alto Networks yang terhubung ke internet, yang mereka gunakan sebagai titik awal serangan. Temuan ini memperlihatkan bahwa kombinasi alat AI dan mesin pencari perangkat terpapar menjadi pintu masuk yang efisien bagi kampanye eksploitasi berskala besar.

Kasus ini juga menegaskan pentingnya menutup antarmuka manajemen perangkat dari akses internet publik. Rantai serangan yang berlangsung kurang dari 15 menit menunjukkan bahwa satu titik lemah pada perangkat tepi jaringan bisa langsung berujung pada kompromi Active Directory. Sebagai perbandingan, insiden kebocoran kode gerbang akibat kamera mobil sewaan turut menjadi pengingat bahwa perangkat yang terhubung ke internet kerap membawa risiko yang tidak disadari pemiliknya.

Bagi organisasi yang masih menjalankan versi PAN-OS lama, temuan Dream menjadi peringatan langsung. Eksploitasi PHP2Shell yang sebelumnya hanya berupa percobaan kini telah menghasilkan kompromi nyata, lengkap dengan akses root persisten dan pergerakan lateral ke jaringan internal. Patch dan penutupan akses ke antarmuka manajemen menjadi langkah yang paling relevan untuk mencegah rantai serangan serupa terulang.

[ META_DESCRIPTION]
PHP2Shell akhirnya dieksploitasi nyata. Dream sebut firewall pemerintah AS ditembus lewat rantai eksploit PHP2Shell dan celah kernel Linux.