Sejumlah pelaku ancaman siber terdeteksi memanfaatkan platform kecerdasan buatan atau artificial intelligence (AI) berdaya agen otonom untuk melancarkan serangkaian aktivitas pasca-eksploitasi, menyusul penyalahgunaan kelemahan sistem PHP2Shell yang terdaftar di bawah pengenal CVE-2026-109618 dan CVE-2026-109619.
"Dalam satu insiden tertentu, para penyerang menyasar sebuah entitas pemerintah di kawasan Eropa, dan hanya dalam kurun waktu dua jam sesudah terjadinya eksploitasi perdana, mereka telah berhasil mendapatkan akses ke hash kata sandi serta rahasia autentikasi multifaktor," tutur unit intelijen ancaman Palo Alto Networks, Unit 42.
"Para peretas tersebut juga membangun terowongan relai NT LAN Manager (NTLM) yang langsung mengarah ke Active Directory, sembari berupaya memaksakan eskalasi hak istimewa ke tingkat Domain Admin," lanjut laporan tim tersebut.
Perusahaan keamanan infrastruktur jaringan itu memaparkan bahwa pihaknya juga menyaksikan peretas menjalankan proses enumerasi menyeluruh pada titik akhir yang telah disusupi, di mana instruksi perintah dan pola perilaku yang ditinggalkan menunjukkan ciri khas operasi pelaku siber berbasis agen AI otonom. Langkah instruksi ini diformulasikan guna mempermudah:
Pengintaian mendalam terhadap pangkalan data autentikasi memakai kredensial yang sebelumnya dicuri, dengan tujuan utama merampas kumpulan hash kata sandi beserta data rahasia autentikasi dua faktor (2FA).
Pengintaian struktur Active Directory (AD) melalui serangkaian permintaan LDAP anonim berbasis curl menuju pengontrol domain (DC), dengan intensi melacak keberadaan akun administrator sistem secara cermat.
Pengintaian pada komputer induk guna melacak integrasi sistem DNS/AD, memetakan jaringan host internal, menyisir kelompok berhak istimewa tinggi, serta menemukan daftar pengguna interaktif.
"Setiap rangkaian batch perintah dibungkus menggunakan pembatas header seksi yang sangat khas, seperti ==SHELLUSER== serta ==PASSWD==," imbuh pihak analis. "Pemberian tanda pembatas semacam ini berfungsi menghasilkan keluaran data yang siap diproses secara otomatis oleh mesin agar dapat dibaca langsung oleh model AI."
Dugaan Kampanye Asal Korea Utara Bidik Celah PHP2Shell
Pengungkapan temuan ini mencuat bertepatan saat firma intelijen siber CYFIRMA menyatakan berhasil mendeteksi kampanye siber yang diduga kuat berafiliasi dengan Korea Utara, di mana para operator mengeksploitasi celah PHP2Shell untuk menguji secara aktif infrastruktur PHP global menggunakan 21 node komputer yang telah mereka kompromikan.
"Aktivitas pemindaian sengaja dijalankan dengan volume rendah serta ritme yang sangat terukur," ungkap Kumar Ritesh, yang menjabat sebagai CEO sekaligus pendiri CYFIRMA, kepada media The Hacker News. "Node-node jaringan tersebut langsung dirotasi lalu ditinggalkan saat muncul indikasi awal pemblokiran atau pembatasan lalu lintas (rate-limiting), sehingga sistem peringatan berbasis ambang batas konvensional hampir pasti gagal menangkapnya."
Kumpulan target yang diincar mencakup sebanyak 216 perangkat komputer host yang belum ditambal atau baru dimitigasi sebagian, tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan Uni Eropa. Host-host yang menjadi sasaran ini merentang pada sektor pemerintahan, lembaga perbankan dan finansial, sektor logistik, bandara dan penerbangan udara, industri manufaktur berskala besar, hingga infrastruktur transaksi daring komersial.
"Kampanye peretasan ini telah beralih dari fase awal pengintaian menuju tahap pemindaian aktif berkecepatan lambat dan bervolume rendah terhadap daftar sasaran yang telah disaring ketat," jelas pihak CYFIRMA. "Setiap entitas organisasi yang bergerak di wilayah geografis serta sektor industri berprioritas tinggi ini sebaiknya segera menganggap bahwa infrastruktur mereka telah masuk ke dalam jangkauan target operasi terencana."
Operasi terkoordinasi yang digerakkan melalui kanal tertutup berbasis I2P ini diatribusikan dengan tingkat keyakinan sedang kepada operator berbahasa Korea yang dinilai terhubung erat dalam ekosistem peretas Lazarus Group. Mengacu pada data analitis CYFIRMA, sepasang identitas online yakni (전창혁 2 alias Jeon Chang-hyuk 2) bersama (최아린 alias Choi A-rin) yang aktif berinteraksi di ruang komunikasi I2P tersebut sebelumnya pernah teridentifikasi mengeksekusi operasi terselubung bagi kelompok penyerang tersebut.
"Sejumlah operator berbahasa Korea telah memanfaatkan kanal tersebut untuk membagikan daftar entitas sasaran, infrastruktur penampung kode eksploitasi, serta penugasan kerja dan skala prioritas yang sepenuhnya sejalan dengan tujuan strategis DPRK," kata Ritesh. "Seluruh rekaman percakapan yang berhasil dicegat memperlihatkan struktur kosa kata beserta tata ejaan khusus yang menjadi karakteristik bahasa Korea Utara (Munhwaŏ), alih-alih bahasa Korea standar Selatan."
"Fase penyerangan langsung merupakan langkah kelanjutan selanjutnya," tegas pihak CYFIRMA. "Para operator peretas itu menyatakan tekad untuk segera menyortir target-target paling menjanjikan pada hari yang sama, sebelum kemudian menentukan instrumen eksploitasi publik mana yang bakal disesuaikan untuk meluncurkan serangan."
Langkah Eksploitasi Lain dan Upaya Mitigasi Sistem
Melalui sebuah unggahan tertanggal 25 Oktober 2026 di platform media sosial X, firma Defused Cyber mengungkapkan indikasi adanya upaya penelusuran PHP2Shell yang secara agresif mengarah pada sistem honeypot Palo Alto Networks GlobalProtect yang mereka operasikan. Kegiatan ofensif tersebut terpantau bersumber langsung dari alamat IP 204.76.203[.]7, yang dikenal luas sebagai basis peluncuran eksploitasi massal.
"Setiap kiriman permintaan menyertakan penanda spesifik PHP_SESSION_UPLOAD_PROGRESS (yakni 'p2s-rider') disertai pengunggahan berkas semu tanpa muatan muatan berbahaya, yang menandakan bahwa ada pihak yang tengah menguji kerentanan penanganan progress unggahan dan sangat mungkin sedang menghimpun daftar perangkat Palo Alto yang rentan," tutur tim intelijen ancaman tersebut.
CVE-2026-109618 dan CVE-2026-109619 merupakan dua celah cacat keamanan berstatus amat kritis yang mampu memicu eksekusi kode jarak jauh pada konfigurasi bawaan lingkungan PHP. Celah keamanan sistem ini langsung memicu gelombang operasi pemindaian berskala masif, di mana Cloudflare melaporkan telah berhasil menyaring jutaan percobaan serangan pasca-pengumuman publik informasi kelemahan peranti lunak tersebut.
"Penyerang menghadapi dua batasan krusial: mereka wajib memperhitungkan ukuran muatan agar alokasi memori gagal pada waktu yang sangat tepat, serta mereka harus berhasil menembus perlindungan ASLR guna menemukan alamat memori yang valid," papar Datadog. "Eksploitasi memerlukan setidaknya satu nama ruas formulir yang cukup kompak agar muat dalam batas muatan permintaan yang diizinkan, tetapi memiliki ukuran cukup besar hingga proses penyalinan kuncinya melampaui batasan memory_limit."
"Tatkala mesin PHP mengurai nama ruas formulir, sistem melakukan penyalinan berkali-kali sepanjang alur pemrosesan. Penyerang memanfaatkan penambahan kebutuhan memori tersebut untuk memaksakan kegagalan alokasi tepat di saat PHP menyalin nama tersebut ke dalam tabel hash internal," jelas analis perusahaan pemantauan itu.
Firma ReliaQuest, lewat laporan teknis yang dirilis pada tanggal 22 Oktober 2026, membeberkan bahwa timnya sukses mereproduksi CVE-2026-109618 dalam simulasi laboratorium terkendali dan memetakan rentetan pesan kegagalan yang dapat memandu tim pertahanan siber mendeteksi insiden intrusi.
"Hasil pengujian laboratorium ini berhasil menyingkapkan pola jejak log yang sangat runtut di seluruh catatan kesalahan PHP, log akses peladen Apache, log kesalahan Apache, hingga log sistem operasi yang amat berguna untuk mendeteksi tindakan eksploitasi," sebutnya. "Tim analis pertahanan hendaknya mewaspadai urutan anomali berikut: pengiriman permintaan POST yang berujung pada kode respons 500, laporan PHP mengenai habisnya alokasi memori serta korupsi struktur heap, dan diakhiri dengan lumpuhnya proses worker Apache yang menangani koneksi tersebut."
Menyikapi perkembangan risiko, PHP Foundation turut merilis peringatan resmi seputar celah eksekusi kode jarak jauh ketiga bernomor CVE-2026-115560, yang ditegaskan hanya "dapat termanifestasi di bawah kombinasi konfigurasi lingkungan serta arsitektur kode aplikasi yang sangat tidak lumrah." Penanganan bagi problem ini direncanakan bakal disalurkan bersamaan dengan jadwal siklus pembaruan rutin berkala.
"Suatu aplikasi web mesti mengonfigurasi direktif session.serialize_handler ke opsi php_binary atau php_serialize pada berkas konfigurasi, lalu menukarnya menjadi php di tengah proses eksekusi melalui fungsi runtime seperti ini_set() sebelum akhirnya mengeksekusi session_start()," tulis perwakilan yayasan pengembang itu. "Fitur session upload progress juga harus berada dalam kondisi aktif menyala. Sistem aplikasi yang tidak pernah merombak pengaturan handler serialisasi saat aplikasi tengah berjalan secara dinamis dipastikan dapat tetap mengaktifkan kapabilitas fungsional tersebut tanpa kendala keamanan."
Penyedia solusi keamanan siber Xint telah mempublikasikan utilitas pemindai independen guna memeriksa apakah sebuah sistem terbuka terhadap ancaman PHP2Shell, seraya menegaskan potensi keberhasilan eksekusi kode jarak jauh dapat berdampak pada skrip PHP apa pun tanpa memandang jenis platform aplikasi, termasuk peranti lunak yang memicu penguraian data semacam perintah session_start() maupun penerapan unserialize().
Hasil investigasi pemindaian global di jagat internet yang dilakukan oleh Bitsight memperlihatkan ada hampir 37 juta instans peladen publik yang beroperasi menggunakan bahasa pemrograman PHP maupun modul perangkat lunak turunannya, dengan rasio konsentrasi kerentanan paling masif terkonsentrasi di kawasan Amerika Serikat, Jerman, Prancis, Belanda, dan Jepang.
"PHP menopang proporsi yang luar biasa dominan dari infrastruktur lanskap web dunia, mulai dari platform manajemen konten publikasi, portal belanja daring e-commerce, hingga berbagai perkakas internal kustom berskala perusahaan," pungkas Bitsight dalam catatannya. "Kelemahan sistemik yang bersarang di tataran runtime kompilator semacam ini mustahil dapat dibereskan hanya dengan merevisi logika kode aplikasi di tingkat atas, dan perlindungan web application firewall maupun instalasi pembaruan plugin tidak akan sanggup meniadakannya. Hanya tindakan pembaruan biner PHP secara langsung pada host peladen itu sendirilah yang mampu menutup celah bahaya ini secara permanen."
