Eksploitasi PHP2Shell Pertama Bobol Firewall Pemerintah AS

Telset.id – Kerentanan PHP2Shell akhirnya memakan korban nyata. Peneliti keamanan siber dari Dream mengonfirmasi kompromi PHP2Shell pertama yang berhasil menembus 25 server, sebagian di antaranya disebut milik organisasi yang berafiliasi dengan pemerintah Amerika Serikat. Serangan ini menandai berakhirnya masa tenang setelah berminggu-minggu hanya berisi percobaan yang gagal.

PHP2Shell adalah nama yang diberikan untuk dua kerentanan berseveritas kritis pada PHP, bahasa pemrograman yang menggerakkan sekitar 70% dari seluruh situs web dan aplikasi web di internet. Saat pertama kali diungkap, belum tersedia patch, dan sejumlah organisasi pemerintah serta pendidikan di Eropa sempat menutup situs mereka secara preemptif untuk mengantisipasi upaya eksploitasi massal.

Namun setelah situasi mereda, tidak ada serangan sukses yang tercatat. Amazon mengaku melihat serangan pertama empat hari sebelum patch dirilis, sementara Cloudflare mencatat ribuan percobaan dalam 10 jam sebelum patch diumumkan. Jumlahnya meningkat menjadi puluhan ribu dalam satu jam setelah pengungkapan, ratusan ribu dalam dua jam, dan kini telah menembus angka jutaan.

Sejumlah pihak menilai eksploitasi celah ini lebih sulit dilakukan dari perkiraan awal. Penyerang disebut menghadapi berbagai hambatan, termasuk Address Space Layout Randomization, fitur keamanan yang mengubah lokasi penyimpanan kode dan data program di memori setiap kali dijalankan. Meski demikian, para peneliti tetap memperingatkan bahwa keberhasilan serangan hanyalah soal waktu.

Rantai Serangan Kurang dari 15 Menit

Peringatan itu kini terbukti. Dream menyebut aktor ancaman asal China berhasil merangkai PHP2Shell dengan celah eskalasi hak istimewa pada kernel Linux untuk menyerang firewall Palo Alto Networks. Serangan dimulai pada 23 Oktober 2026 dengan memindai perusahaan di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan, lalu berfokus pada perangkat berbasis PAN-OS yang menjalankan versi sistem operasi lama dan rentan.

Menurut Dream, pelaku merangkai PHP2Shell dengan Fragnesia, celah eskalasi hak istimewa lokal yang memungkinkan pengguna tanpa hak istimewa memperoleh akses root. Celah ini diungkap pada pertengahan Mei tahun ini dan tercatat sebagai CVE-2026-46300. Setelah berhasil masuk ke perangkat, penyerang menjalankan sekitar 40 skrip pasca-eksploitasi khusus.

“Dalam hitungan jam setelah mengompromikan firewall yang berafiliasi dengan pemerintah AS, mereka telah membuat terowongan ke jaringan internal, mengompromikan server ketiga menggunakan eksploit PHP2Shell yang sama, dan meluncurkan kampanye serangan Active Directory penuh — semuanya melalui rantai yang dimulai dari satu permintaan HTTPS tanpa autentikasi ke antarmuka manajemen yang seharusnya tidak pernah terekspos ke internet,” demikian isi laporan perusahaan tersebut.

Yang lebih mengkhawatirkan, total rantai serangan dari koneksi HTTPS tanpa autentikasi hingga webshell root yang persisten selesai dalam waktu kurang dari 15 menit. Peneliti tidak dapat memastikan tujuan akhir serangan karena informasi tersebut tidak ditemukan dalam artefak yang berhasil diambil. Selain akses persisten dan pencurian kredensial, pelaku berpotensi menjatuhkan backdoor hingga mengeksfiltrasi informasi sensitif.

Dream menilai insiden ini kemungkinan tidak sepenuhnya digerakkan oleh AI, meski ditemukan bukti penggunaan teknologi tersebut. Claude Code terpasang di sistem, begitu pula platform keamanan ofensif bernama AIscan yang dikonfigurasi dengan model AI China, DeepSeek dan Kimi. Peneliti juga menemukan API key untuk FOFA, padanan Shodan asal China, yang menurut dugaan digunakan untuk mengidentifikasi sekitar 19.000 firewall Palo Alto Networks yang terhubung ke internet sebagai titik awal serangan.

Urgensi Patch dan Permukaan Serangan

Kasus ini menegaskan bahwa kerentanan pada perangkat tepi jaringan seperti firewall menjadi pintu masuk yang efektif bagi aktor ancaman. Serangan berawal dari antarmuka manajemen yang terekspos ke internet, sebuah kesalahan konfigurasi yang menurut laporan Dream seharusnya tidak pernah terjadi. Dari satu titik itu, penyerang bergerak cepat ke jaringan internal dan menyasar Active Directory.

Bagi organisasi yang masih menjalankan versi PAN-OS lama, temuan ini memperkuat urgensi penerapan patch dan peninjauan ulang konfigurasi perangkat. Sebelumnya, AWS mengungkap bahwa peretas telah mencoba mengeksploitasi masalah keamanan PHP beberapa hari sebelum perbaikan dirilis, sementara Cloudflare mencatat lonjakan besar dalam upaya serangan yang menyasar situs-situs besar dunia. Ancaman terhadap perangkat penyimpanan seperti NAS juga sempat disorot karena tidak semua vendor mampu menambal celah dengan cepat.

Dream meyakini penyerang masih memiliki akses tanpa hambatan ke sistem yang telah dikompromikan. Rantai serangan yang cepat dan melibatkan puluhan skrip khusus menunjukkan bahwa PHP2Shell bukan lagi sekadar peringatan teoretis, melainkan kerentanan yang telah terbukti dieksploitasi secara nyata terhadap infrastruktur pemerintah.

Untuk konteks industri yang lebih luas, dinamika keamanan siber dan adopsi teknologi global turut tercermin dalam berbagai perkembangan lain, seperti langkah produsen perangkat memperluas jejak produksi demi memenuhi regulasi, hingga insiden kebocoran kode akses dari perangkat yang terpasang di kendaraan sewaan.

[ META_DESCRIPTION ]
Eksploitasi PHP2Shell pertama terkonfirmasi menembus 25 server, termasuk milik organisasi afiliasi pemerintah AS, lewat rantai serangan kurang dari 15 menit.