Serangan PHP2Shell Sasar Instansi Pemerintahan, Diduga Dibantu AI

Serangan siber yang memanfaatkan celah keamanan PHP2Shell mulai menunjukkan dampak serius. Penyerang dilaporkan berhasil menyusup ke sistem sebuah instansi pemerintah di Eropa dan mencuri informasi sensitif, termasuk hash kata sandi serta rahasia autentikasi multifaktor. Menariknya, aktivitas setelah penyusupan tersebut diduga memanfaatkan  Artificial Intelligence (AI) berbasis agen untuk membantu menjalankan proses pengintaian dan mencari akses yang lebih luas ke jaringan korban.

Temuan tersebut diungkapkan oleh tim riset keamanan siber Palo Alto Networks Unit 42. Dalam laporannya, Unit 42 menyebut penyerang berhasil mengakses sejumlah informasi autentikasi hanya dalam waktu dua jam setelah mengeksploitasi kerentanan PHP2Shell.

Kerentanan yang dimaksud tercatat dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya merupakan celah keamanan kritis yang dapat memungkinkan penyerang menjalankan remote code execution (RCE) pada konfigurasi PHP standar.

“Dalam salah satu kasus, penyerang menargetkan sebuah instansi pemerintah di Eropa. Dalam waktu dua jam setelah eksploitasi awal, mereka berhasil mengakses hash kata sandi dan rahasia autentikasi multifaktor,” ungkap Palo Alto Networks Unit 42.

Tidak berhenti pada pencurian informasi, penyerang juga membangun terowongan NT LAN Manager (NTLM) relay menuju Active Directory. Mereka kemudian mencoba meningkatkan hak akses hingga tingkat Domain Admin, yaitu tingkat kewenangan tinggi yang memungkinkan pengelolaan berbagai sumber daya dalam lingkungan domain Windows.

Upaya tersebut menunjukkan bahwa eksploitasi PHP2Shell berpotensi menjadi pintu masuk bagi serangan yang lebih luas. Setelah berhasil menembus sistem awal, penyerang dapat berusaha mengumpulkan informasi, mencuri kredensial, dan memperluas kendali mereka terhadap jaringan organisasi.

Aktivitas Peretasan Diduga Dibantu Agen AI

Salah satu hal yang menjadi perhatian Unit 42 adalah pola perintah yang digunakan penyerang setelah berhasil menyusupi sistem. Berdasarkan hasil pengamatan, sejumlah perintah dan perilaku yang ditemukan mengindikasikan kemungkinan penggunaan agentic AI atau AI berbasis agen.

Berbeda dengan AI yang hanya memberikan jawaban atas pertanyaan pengguna, agentic AI dapat dirancang untuk menjalankan serangkaian tugas secara bertahap berdasarkan tujuan tertentu. Dalam konteks keamanan siber, kemampuan tersebut dapat digunakan untuk membantu menganalisis sistem, mengumpulkan informasi, dan mengatur pelaksanaan tugas secara otomatis.

Unit 42 menemukan beberapa aktivitas pengintaian yang dilakukan pada perangkat yang telah disusupi.

• Pertama, penyerang memeriksa basis data autentikasi menggunakan kredensial yang telah dicuri. Tujuannya adalah mencari hash kata sandi dan informasi rahasia yang berkaitan dengan two-factor authentication (2FA).
• Kedua, penyerang melakukan pengintaian terhadap Active Directory (AD), layanan Microsoft yang digunakan organisasi untuk mengelola identitas pengguna, akun, perangkat, dan hak akses dalam jaringan. Mereka menjalankan kueri LDAP anonim berbasis perintah curl ke pengendali domain atau Domain Controller (DC) untuk mencari akun administrator.
• Ketiga, penyerang memeriksa konfigurasi sistem untuk mengetahui hubungan antara DNS dan Active Directory, perangkat yang terhubung dalam jaringan internal, grup dengan hak akses istimewa, serta pengguna yang sedang aktif berinteraksi dengan sistem.

Pola tersebut menunjukkan bahwa penyerang tidak sekadar menjalankan satu perintah untuk mengeksploitasi celah keamanan. Mereka juga berusaha memahami lingkungan korban dan menemukan informasi yang dapat digunakan untuk memperluas akses.

Unit 42 turut menemukan bahwa keluaran dari perintah-perintah tersebut disusun menggunakan penanda bagian tertentu, seperti ==SHELLUSER==  dan ==PASSWD== .

“Setiap kumpulan perintah dibungkus dengan penanda bagian. Penanda ini menghasilkan keluaran yang dapat dibaca mesin dan diproses oleh model AI,” jelas Unit 42.

Format keluaran yang terstruktur tersebut dapat memudahkan model AI membaca dan mengolah hasil perintah. Meski demikian, temuan ini merupakan indikasi yang mengarah pada penggunaan agen AI, bukan bukti bahwa seluruh rangkaian serangan sepenuhnya dijalankan secara otonom oleh AI.

Kampanye PHP2Shell Diduga Berkaitan dengan Korea Utara

Ancaman PHP2Shell juga terdeteksi dalam kampanye pemindaian lintas negara yang diduga memiliki keterkaitan dengan Korea Utara.

Perusahaan intelijen siber CYFIRMA mengungkap kampanye yang menggunakan 21 perangkat yang telah disusupi untuk memindai infrastruktur PHP di berbagai negara. Aktivitas tersebut menyasar sistem yang belum mendapatkan pembaruan keamanan atau baru memperoleh mitigasi sebagian.

CEO sekaligus pendiri CYFIRMA, Kumar Ritesh, mengatakan pemindaian dilakukan secara perlahan dan dengan volume permintaan yang sengaja dibatasi.

“Node yang digunakan terus diganti dan ditinggalkan begitu terdeteksi adanya pemblokiran atau pembatasan jumlah permintaan. Karena itu, sistem peringatan yang hanya mengandalkan ambang batas tertentu kemungkinan tidak akan mendeteksi aktivitas ini,” kata Ritesh melansir dari The Hacker News.

Strategi tersebut berpotensi menyulitkan pendeteksian apabila organisasi hanya mengandalkan sistem keamanan yang memberikan peringatan ketika jumlah permintaan mencurigakan melewati batas tertentu. Dengan membatasi frekuensi pemindaian dan mengganti perangkat yang digunakan, pelaku dapat berusaha menghindari deteksi berbasis volume lalu lintas.

CYFIRMA mengidentifikasi 216 sistem yang belum diperbarui atau baru memperoleh mitigasi sebagian sebagai target kampanye tersebut. Sistem-sistem itu tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan Uni Eropa.

Sektor yang menjadi sasaran juga cukup beragam, mulai dari instansi pemerintah, lembaga keuangan, perusahaan logistik, bandara dan penerbangan, industri manufaktur, hingga platform transaksi daring.

Menurut CYFIRMA, aktivitas tersebut telah berkembang dari tahap pengintaian menjadi pemindaian aktif dengan intensitas rendah terhadap target yang sudah dipilih.

“Kampanye ini telah beralih dari tahap pengintaian menuju pemindaian aktif dengan intensitas rendah dan tempo lambat terhadap kumpulan target yang telah diseleksi,” kata CYFIRMA.

Organisasi yang berada di sektor dan wilayah prioritas diminta mengantisipasi kemungkinan menjadi sasaran serangan yang direncanakan secara khusus.

Indikasi Keterkaitan dengan Lazarus Group

CYFIRMA menilai kampanye tersebut memiliki kemungkinan hubungan dengan ekosistem Lazarus Group, kelompok peretas yang kerap dikaitkan dengan operasi siber Korea Utara. Namun, atribusi ini masih memiliki tingkat keyakinan sedang dan belum dapat dianggap sebagai konfirmasi mutlak mengenai identitas pelaku.

Aktivitas kampanye disebut dikoordinasikan melalui kanal tertutup I2P, jaringan yang dirancang untuk mendukung komunikasi privat. CYFIRMA juga menyoroti dua akun yang menggunakan nama Jeon Chang-hyuk 2 dan Choi A-rin, yang sebelumnya dilaporkan pernah terpantau menjalankan operasi tersembunyi untuk pelaku ancaman siber.

Menurut Ritesh, kanal tersebut digunakan oleh operator berbahasa Korea untuk berbagi daftar target, infrastruktur hosting eksploit, pembagian tugas, dan penentuan prioritas operasi.

Ia juga menyebut percakapan yang berhasil diperoleh menggunakan kosakata dan ejaan khas bahasa Korea Utara, yang dikenal sebagai Munhwaŏ, bukan standar bahasa Korea Selatan.

Selain pola komunikasi tersebut, CYFIRMA mengidentifikasi beberapa indikator lain yang dinilai mendukung dugaan keterkaitan dengan Lazarus Group.

Indikator pertama adalah penggunaan infrastruktur command-and-control (C2) yang sebelumnya pernah dimanfaatkan Lazarus untuk mengeksploitasi aset web.

Indikator kedua berkaitan dengan riwayat serangan kelompok tersebut terhadap server PHP dan WordPress. Lazarus diketahui pernah menyusupi server untuk menjadikannya bagian dari infrastruktur C2 dan memasang web shell berbasis PHP maupun ASP. Pola serupa juga pernah diamati dalam kampanye watering hole bernama SyncHole.

Indikator ketiga adalah pemilihan target yang mencakup instansi pemerintah, bank, dan platform transaksi daring. Fokus tersebut dinilai sejalan dengan rekam jejak Lazarus Group dalam menyerang lembaga keuangan untuk mencuri dana dan aset kripto.

CYFIRMA mengatakan operator kampanye tersebut berencana memilih target yang dianggap paling menjanjikan sebelum menentukan eksploit publik yang akan diadaptasi.

“Eksploitasi merupakan tahap berikutnya,” kata CYFIRMA.

Pernyataan itu mengindikasikan bahwa pemindaian yang dilakukan berpotensi menjadi tahap awal sebelum serangan yang lebih terarah terhadap sistem yang dinilai rentan.

Jutaan Upaya Eksploitasi PHP2Shell Terdeteksi

Aktivitas pemindaian PHP2Shell tidak hanya ditemukan dalam kampanye yang diselidiki CYFIRMA. Pada 25 Oktober 2026, perusahaan keamanan Defused Cyber juga melaporkan adanya permintaan mencurigakan yang menargetkan sistem honeypot Palo Alto Networks GlobalProtect.

Aktivitas tersebut berasal dari alamat IP 204.76.203[.]7, yang dikenal berkaitan dengan eksploitasi massal.

Permintaan yang terpantau membawa penanda PHP_SESSION_UPLOAD_PROGRESS  bernama p2s-rider, disertai unggahan berkas tiruan tanpa muatan berbahaya.

Menurut Defused Cyber, pola tersebut mengindikasikan bahwa pelaku sedang memeriksa perilaku fitur unggah berkas yang rentan. Aktivitas itu juga diduga menjadi bagian dari proses penyusunan daftar perangkat Palo Alto yang berpotensi menjadi target.

Sementara itu, Cloudflare menyatakan telah mendeteksi jutaan upaya eksploitasi setelah informasi mengenai kerentanan PHP2Shell dipublikasikan.

Besarnya jumlah percobaan tersebut menunjukkan bahwa kerentanan ini menjadi perhatian pelaku ancaman siber dan dapat dimanfaatkan untuk memindai sistem yang terhubung ke internet. Perusahaan pemantauan keamanan Datadog menjelaskan bahwa eksploitasi PHP2Shell melibatkan sejumlah kondisi teknis yang berkaitan dengan pengelolaan memori.

Penyerang harus mengatur ukuran permintaan agar kegagalan alokasi memori terjadi pada waktu yang tepat. Mereka juga perlu mengatasi ASLR atau Address Space Layout Randomization, mekanisme keamanan yang mengacak penempatan bagian-bagian memori program agar lebih sulit dieksploitasi.

Datadog menjelaskan bahwa serangan tersebut memanfaatkan proses PHP dalam memproses nama kolom formulir. Ketika nama kolom diproses, PHP dapat membuat beberapa salinan data tersebut sehingga penggunaan memori meningkat.

Dalam kondisi tertentu, penyerang dapat memanfaatkan kebutuhan memori tambahan itu untuk memicu kegagalan alokasi ketika PHP menyalin nama kolom ke dalam tabel hash. Meski melibatkan mekanisme teknis yang rumit, dampaknya dapat serius apabila eksploitasi berhasil memberikan kemampuan kepada penyerang untuk menjalankan kode pada sistem yang rentan.

Log Sistem Bisa Menjadi Petunjuk Serangan

Untuk membantu organisasi mendeteksi eksploitasi, ReliaQuest melaporkan pada 22 Oktober 2026 bahwa pihaknya berhasil mereproduksi kerentanan CVE-2026-109618 di lingkungan laboratorium terkendali. Pengujian tersebut menemukan rangkaian kejadian pada log PHP, Apache, dan sistem operasi yang dapat membantu tim keamanan mengenali indikasi eksploitasi. ReliaQuest menyarankan agar tim keamanan memperhatikan tiga kejadian yang muncul secara berurutan.

• Permintaan HTTP dengan metode POST menghasilkan respons kesalahan 500.
• PHP melaporkan kehabisan memori dan kerusakan heap, yaitu bagian memori yang digunakan program untuk menyimpan data secara dinamis.
• Proses pekerja Apache yang menangani permintaan tersebut mengalami kerusakan atau berhenti secara tiba-tiba.

Jika ketiga kejadian tersebut muncul dalam urutan yang berdekatan, tim keamanan perlu menyelidiki kemungkinan adanya percobaan eksploitasi PHP2Shell. Pola ini tidak serta-merta membuktikan bahwa sistem telah berhasil diretas. Namun, korelasi antara log permintaan, kesalahan PHP, dan kerusakan proses Apache dapat menjadi petunjuk penting untuk investigasi lebih lanjut.

Kerentanan PHP Tambahan Juga Ditemukan

Di tengah penyelidikan terhadap PHP2Shell, PHP Foundation turut memperingatkan adanya kerentanan eksekusi kode jarak jauh lainnya, yaitu CVE-2026-115560. Berbeda dengan dua kerentanan PHP2Shell sebelumnya, celah ini hanya dapat muncul dalam kombinasi konfigurasi dan kode aplikasi yang tidak umum.

Menurut PHP Foundation, kondisi tersebut dapat terjadi ketika aplikasi mengatur session.serialize_handler ke php_binary  atau php_serialize , kemudian mengubahnya menjadi php saat aplikasi berjalan melalui fungsi ini_set()  sebelum memanggil session_start() .

Fitur session upload progress juga harus tetap diaktifkan agar kondisi yang memungkinkan eksploitasi tersebut dapat terjadi.

PHP Foundation menyebut aplikasi yang tidak mengubah pengaturan serialize handler saat program berjalan tetap dapat mempertahankan fitur session upload progress dalam keadaan aktif.

Di sisi lain, Xint telah merilis alat pemindai untuk memeriksa apakah sebuah host terpapar PHP2Shell. Perusahaan tersebut memperingatkan bahwa potensi eksekusi kode jarak jauh tidak terbatas pada aplikasi tertentu, melainkan dapat memengaruhi skrip PHP yang memenuhi kondisi rentan.

Risiko juga dapat muncul pada aplikasi yang melakukan proses dekode data melalui fungsi seperti session_start()  dan unserialize() .

Hampir 37 Juta Sistem Berbasis PHP Terhubung ke Internet

Luasnya penggunaan PHP menjadi salah satu faktor yang membuat kerentanan ini perlu mendapat perhatian serius. Berdasarkan pemindaian internet yang dilakukan Bitsight, terdapat hampir 37 juta sistem yang terhubung ke internet dan menjalankan PHP atau perangkat lunak terkait PHP.

Sebagian besar sistem yang terpapar ditemukan di Amerika Serikat, Jerman, Prancis, Belanda, dan Jepang.

PHP banyak digunakan untuk menjalankan berbagai layanan web, mulai dari content management system (CMS), toko daring, hingga aplikasi internal yang dikembangkan khusus untuk kebutuhan organisasi.

Karena itu, kerentanan pada lingkungan eksekusi PHP dapat berdampak luas. Perbaikan tidak cukup dilakukan hanya dengan mengubah kode aplikasi, memperbarui plugin, atau mengandalkan web application firewall (WAF). Bitsight menegaskan bahwa pembaruan PHP pada server yang menjalankannya merupakan langkah utama untuk menutup celah keamanan tersebut.

“Celah keamanan pada lingkungan eksekusi PHP tidak dapat diperbaiki hanya dengan mengubah kode aplikasi. Pembaruan web application firewall atau plugin juga tidak akan menghilangkan kerentanan tersebut. Celah ini hanya dapat ditutup dengan memperbarui PHP pada host itu sendiri,” kata Bitsight.

Bagi organisasi yang menggunakan PHP, langkah mitigasi perlu dimulai dengan memeriksa versi yang terpasang dan memastikan pembaruan keamanan yang sesuai telah diterapkan. Tim keamanan juga perlu meninjau log PHP, Apache, dan sistem operasi untuk menemukan pola kesalahan yang mencurigakan.

Selain itu, pemantauan tidak sebaiknya hanya bergantung pada lonjakan jumlah permintaan. Pemindaian dengan intensitas rendah dan pergantian infrastruktur dapat membuat aktivitas penyerang lebih sulit terdeteksi melalui ambang batas lalu lintas semata.

Organisasi juga perlu mengevaluasi akses ke Active Directory, melindungi kredensial dan rahasia autentikasi, serta menyelidiki aktivitas yang tidak biasa setelah sebuah server terindikasi berhasil dieksploitasi.

Kasus ini memperlihatkan bahwa celah keamanan pada komponen dasar seperti PHP dapat menjadi pintu masuk bagi serangan yang lebih kompleks. Ketika penyerang diduga memanfaatkan agen AI untuk membantu mengatur aktivitas setelah penyusupan, kemampuan organisasi dalam memperbarui sistem, memantau perilaku mencurigakan, dan membatasi hak akses menjadi semakin penting.

Dengan hampir 37 juta sistem berbasis PHP yang terhubung ke internet, penanganan kerentanan ini tidak hanya menjadi tanggung jawab pengembang aplikasi, tetapi juga administrator server dan tim keamanan yang memastikan infrastruktur tetap terlindungi.