Sejumlah pelaku kejahatan siber dilaporkan mulai memanfaatkan platform kecerdasan buatan atau AI bertipe agen untuk melancarkan aksi pasca-eksploitasi, menyusul penyalahgunaan celah keamanan PHP2Shell yang tercatat dalam katalog CVE-2026-109618 dan CVE-2026-109619.
"Dalam satu insiden nyata, para peretas mengarahkan serangan ke instansi pemerintah di kawasan Eropa, dan hanya dalam rentang waktu dua jam setelah pembobolan awal berhasil dilakukan, mereka telah mampu menjangkau nilai hash kata sandi beserta rahasia autentikasi multifaktor," ungkap Unit 42 milik Palo Alto Networks.
"Kelompok penyerang tersebut turut membangun sebuah terowongan relai NT LAN Manager (NTLM) yang langsung mengarah ke Active Directory, sekaligus berupaya menjalankan eskalasi hak akses setingkat Domain Admin," lanjut peneliti tersebut.
Perusahaan spesialis keamanan jaringan itu juga menerangkan bahwa pihaknya menyaksikan aktor ancaman yang belum teridentifikasi tersebut melakukan proses enumerasi intensif terhadap titik akhir yang berhasil dikompromikan, memperlihatkan serangkaian perintah dan pola perilaku yang sangat kuat mengindikasikan keterlibatan agen peretas otonom. Pola instruksi tersebut dirancang secara sistematis guna mendukung sejumlah aktivitas berikut –
Penyelidikan mendalam terhadap basis data autentikasi memakai informasi kredensial yang telah dicuri sebelumnya, dengan sasaran utama berupa hash kata sandi serta kunci rahasia pada mekanisme autentikasi dua faktor (2FA).
Operasi pengintaian struktur Active Directory (AD) menggunakan kueri anonim protokol LDAP berbasis curl ke bagian domain controller (DC) demi menemukan akun milik administrator sistem secara cepat.
Pengintaian terhadap mesin target guna melacak konfigurasi integrasi DNS/AD, daftar perangkat internal jaringan, keanggotaan kelompok berhak istimewa tinggi, hingga akun-akun pengguna interaktif yang sedang beroperasi.
"Setiap kumpulan baris perintah selalu dibungkus memakai tanda pembatas header tertentu, semisal tanda ==SHELLUSER== dan ==PASSWD==," imbuh pihak analis. "Pemberian tanda batas struktural ini bertujuan memproduksi data keluaran yang mudah diurai secara otomatis oleh mesin agar langsung dapat diproses oleh model komputasi AI."
Dugaan Kampanye Asal Korea Utara Bidik Kerentanan PHP2Shell
Pengungkapan kasus pembobolan ini mencuat bertepatan dengan laporan dari CYFIRMA, yang menyatakan berhasil membongkar dugaan kampanye peretasan yang terafiliasi dengan pihak Korea Utara, di mana mereka memanfaatkan kerentanan PHP2Shell guna menyisir infrastruktur server PHP di skala global melalui pemakaian 21 titik simpul jaringan yang telah mereka kendalikan.
"Kegiatan pemindaian jaringan tersebut sengaja dijalankan dengan volume lalu lintas rendah dan ritme perlahan," tutur Kumar Ritesh, selaku Chief Executive Officer sekaligus pendiri CYFIRMA, ketika memberikan pernyataan kepada The Hacker News. "Setiap simpul secara bergantian diganti atau langsung dibuang begitu muncul tanda-tanda pemblokiran maupun penerapan pembatasan akses, sehingga mekanisme peringatan dini berbasis ambang batas lalu lintas kemungkinan besar gagal mendeteksinya."
Kelompok target pemindaian tersebut mencakup 216 perangkat komputer induk yang belum dipasangi tambalan keamanan atau hanya berbekal mitigasi parsial, yang tersebar di wilayah Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, serta negara anggota Uni Eropa. Berbagai perangkat komputer tersebut mencakup jaringan milik institusi pemerintah, perbankan dan lembaga keuangan, rantai pasok logistik, fasilitas bandara beserta penerbangan, pabrik manufaktur, hingga penyedia sistem transaksi daring.
"Kampanye siber berbahaya ini kini telah bergeser dari sekadar tahap pengintaian dasar menuju pemindaian aktif berkecepatan rendah terhadap kelompok sasaran yang telah disaring secara cermat," papar perwakilan CYFIRMA. "Institusi maupun perusahaan yang bergerak pada sektor prioritas dan berada di wilayah cakupan tersebut disarankan untuk segera menganggap diri mereka telah masuk ke dalam daftar target serangan terencana."
Seluruh pergerakan peretasan ini dikoordinasikan secara tersembunyi lewat saluran jaringan I2P tertutup, serta dihubungkan dengan tingkat keyakinan moderat kepada seorang operator berbahasa Korea yang diduga kuat bernaung di bawah payung ekosistem kelompok spionase siber Lazarus Group. Berdasarkan penelusuran mendalam dari CYFIRMA, dua tanda identitas daring yakni (전창혁 2 alias Jeon Chang-hyuk 2) serta (최아린 alias Choi A-rin) yang aktif berinteraksi di ruang I2P tersebut pernah tercatat berpartisipasi dalam berbagai operasi siber rahasia bagi kelompok ancaman terkait.
"Operator yang memakai komunikasi bahasa Korea telah menggunakan wadah tersebut untuk bertukar daftar sasaran, mengelola infrastruktur penyedia celah eksploitasi, serta mengatur arahan tugas dan prioritas serangan yang sejalan dengan agenda geopolitik DPRK," kata Ritesh. "Seluruh rekaman dialog yang dikumpulkan menunjukkan pemakaian kosakata dan kaidah ejaan khusus bahasa Korea Utara (Munhwaŏ), alih-alih memakai standar tata bahasa Korea Selatan."
Rentetan bukti mendasar lain yang turut memperkuat keterikatan kampanye pemindaian ini dengan lingkaran kelompok Lazarus tercantum sebagaimana rincian berikut –
"Tindakan penyerangan langsung merupakan tahapan yang akan ditempuh berikutnya," tandas pihak CYFIRMA. "Para operator tersebut secara terbuka menyatakan tekad untuk menyusun daftar final target yang dinilai paling menjanjikan pada hari yang sama, sebelum menentukan materi eksploitasi publik mana yang siap disesuaikan."
Langkah Eksploitasi Lain dan Upaya Mitigasi Keamanan
Melalui sebuah kiriman tertanggal 25 Oktober 2026 di platform media sosial X, firma Defused Cyber membeberkan bahwa mereka turut mendeteksi adanya aktivitas pengujian PHP2Shell yang membidik sistem jebakan honeypot Palo Alto Networks GlobalProtect miliknya. Manuver penelusuran tersebut tercatat bersumber dari alamat IP 204.76.203[.]7, yang selama ini telah lama dikenal luas sebagai instrumen pelaksana eksploitasi massal.
"Seluruh pengiriman permintaan mengandung penanda spesifik PHP_SESSION_UPLOAD_PROGRESS (berupa 'p2s-rider') serta membawa berkas unggahan tiruan hampa instruksi, yang menegaskan bahwa pelaku sedang menguji kelemahan penanganan progres unggahan berkas dan kemungkinan besar tengah menghimpun direktori perangkat Palo Alto yang berpotensi ditembus," jelas perusahaan intelijen ancaman tersebut.
Kedua varian celah, baik CVE-2026-109618 maupun CVE-2026-109619, tergolong sebagai kerentanan tingkat kritis yang mampu memicu eksekusi kode jarak jauh pada instalasi bawaan PHP. Lubang keamanan berbahaya ini telah memicu gelombang pemindaian global yang sangat masif, di mana Cloudflare bahkan mengonfirmasi telah mendeteksi jutaan kali upaya penyerangan segera setelah temuan tersebut dibuka kepada komunitas publik.
"Pihak peretas sebenarnya menghadapi dua rintangan teknis utama: mereka diwajibkan menghitung ukuran paket permintaan secara presisi agar memicu kegagalan alokasi memori pada momen yang tepat, dan mereka harus sanggup menembus proteksi ASLR demi memetakan alamat memori yang valid," papar perwakilan Datadog. "Skrip eksploitasi menuntut kehadiran satu nama kolom yang cukup ringkas agar muat dalam tubuh permintaan HTTP yang diizinkan, tetapi sekaligus harus berukuran cukup besar agar saat kuncinya disalin dapat melampaui batasan memori atau memory_limit."
"Sewaktu mesin PHP membedah nama ruas formulir, ia menjalankan serangkaian duplikasi berkali-kali sepanjang alur pemrosesan data. Penyerang lantas memanfaatkan konsumsi ruang memori berlebih tersebut guna memaksa timbulnya kegagalan alokasi tepat saat PHP sedang menyalin nama variabel ke dalam struktur tabel hash."
Lembaga keamanan ReliaQuest, lewat rilis resmi pada 22 Oktober 2026, memaparkan bahwa pihaknya sukses mereplikasi eksploitasi CVE-2026-109618 di lingkungan pengujian laboratorium tertutup dan mencatat urutan pesan kesalahan khas yang bisa digunakan tim pertahanan untuk mengenali tanda serangan.
"Serangkaian uji coba ini berhasil memetakan runtutan artefak spesifik yang muncul melintasi catatan log galat PHP, log akses Apache, catatan galat Apache, hingga rekaman log sistem yang amat berguna bagi tim pelindung siber," tulis laporan tersebut. "Tim penjaga sistem harus memprioritaskan runtutan kejadian berikut: sebuah permintaan jenis POST yang memicu keluaran galat HTTP 500, pelaporan kehabisan alokasi memori dan kerusakan struktur heap oleh PHP, serta berhentinya proses pekerja Apache yang melayani permintaan tersebut akibat crash."
Sebagai tanggapan atas situasi ini, PHP Foundation menerbitkan peringatan lanjutan mengenai adanya potensi eksekusi kode berbahaya ketiga (CVE-2026-115560), kendati ditegaskan insiden tersebut hanya "dapat termanifestasi di bawah kombinasi konfigurasi server dan kode aplikasi yang tidak lazim." Penanganan perbaikan kelemahan tersebut dijadwalkan masuk dalam jadwal pembaruan berkala perangkat lunak mendatang.
"Sebuah susunan aplikasi harus terlebih dahulu mengatur parameter session.serialize_handler ke mode php_binary atau php_serialize pada berkas konfigurasi, kemudian menggantinya kembali ke mode php saat aplikasi berjalan lewat pemanggilan fungsi runtime seperti ini_set() sebelum akhirnya mengeksekusi instruksi session_start()," urai PHP Foundation. "Selain itu, fungsionalitas pemantau progres pengunggahan sesi juga harus dalam status aktif. Aplikasi yang sama sekali tidak pernah mengubah metode serialize handler ketika berjalan diizinkan mempertahankan fitur tersebut tetap menyala."
Pengembang keamanan Xint meluncurkan perangkat lunak pemindai khusus untuk mendeteksi apakah sistem jaringan rentan terhadap ancaman PHP2Shell, sembari menegaskan eksekusi kode berbahaya jarak jauh sangat mungkin dieksekusi pada berkas skrip PHP mana pun tanpa memedulikan jenis aplikasinya, khususnya dalam alur aplikasi yang melibatkan proses pembacaan balik seperti session_start() serta fungsi unserialize().
Data pemetaan global yang dihimpun Bitsight memperlihatkan saat ini terdapat hampir 37 juta sistem komputer yang terkoneksi langsung ke jaringan internet publik dengan menjalankan PHP atau modul aplikasi berbasis PHP, dengan tingkat keterpaparan paling tinggi terpusat di kawasan Amerika Serikat, Jerman, Prancis, Belanda, dan Jepang.
"Ekosistem PHP menopang porsi operasional situs web yang teramat besar di seluruh penjuru dunia, mulai dari platform manajemen konten, aplikasi gerai belanja daring, hingga perangkat lunak khusus internal organisasi," sebut Bitsight. "Cacat fatal pada level runtime semacam ini tidak akan pernah bisa ditambal hanya dengan memodifikasi baris kode aplikasi, dan penempatan Web Application Firewall maupun pembaruan modul plugin biasa tidak akan melenyapkan risikonya. Satu-satunya tindakan yang mutlak menutup celah tersebut adalah memperbarui versi PHP pada mesin server itu sendiri."
