Rantai Serangan PHP2Shell yang Membobol 25 Server

Dream melaporkan rantai serangan PHP2Shell yang, menurutnya, membobol 25 server, termasuk sistem di lingkungan yang berafiliasi dengan pemerintah AS. Investigasi 26 Oktober mereka menguraikan bagaimana antarmuka pengelolaan firewall yang terekspos menjadi jalur menuju infrastruktur identitas internal.

Jumlah yang dilaporkan mencakup 24 firewall perimeter dan satu server pengelolaan internal. Dream tidak mengungkap vendor dan versi perangkat lunak yang terdampak, serta mengatakan bahwa pihaknya telah memberi tahu vendor tersebut.

Bagaimana Rantai Eksploitasi Menembus Dua Batas Keamanan

Rantai tersebut menggabungkan PHP2Shell, yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, dengan kerentanan eskalasi hak akses di Linux, Fragnesia, CVE-2026-46300.

Kerentanan-kerentanan ini mengatasi hambatan yang berbeda. Eksekusi kode jarak jauh memungkinkan penyerang menjalankan kode melalui layanan yang dapat dijangkau. Eskalasi hak akses lokal kemudian dapat mengubah pijakan terbatas menjadi kendali atas sistem operasi. Penggabungan keduanya mengubah persoalan penanganan insiden: penyelidik harus mempertimbangkan apa saja yang dapat diakses perangkat yang telah disusupi di luar antarmuka pengelolaannya sendiri.

Red Hat menjelaskan Fragnesia sebagai kelemahan pada subsistem XFRM ESP-in-TCP di kernel Linux. Pemrosesan kriptografi yang tidak aman dapat memungkinkan penyerang lokal dengan hak akses rendah mengubah cache halaman berkas hanya-baca, menimpa berkas biner berhak istimewa, dan memperoleh hak akses root. Karena itu, Fragnesia merupakan mekanisme eskalasi tersendiri, bukan jalur masuk awal tanpa autentikasi.

Dream mengonfirmasi pengambilan kredensial akun layanan LDAP dan enumerasi direktori. Dream tidak dapat memastikan apakah upaya password spraying, percobaan pembuatan akun pintu belakang, atau pengambilan kunci penandatangan SAML berhasil. Batasan ini penting: akses terkonfirmasi ke informasi direktori tidak membuktikan bahwa Active Directory telah diambil alih sepenuhnya.

Apa yang Dibuktikan oleh Bukti AI

Penyelidik menemukan Claude Code terpasang dan sebuah platform ofensif yang dikonfigurasi dengan DeepSeek dan Kimi. Dream mengatakan tidak memiliki bukti langsung bahwa alat-alat tersebut menulis eksploit atau skrip pascaeksploitasi, dan tidak menggambarkan operasi itu sebagai sepenuhnya otonom. Dugaan keterkaitannya dengan China masih tentatif; Dream tidak menyebutkan pelaku ancaman mana pun.

Bagi pihak yang bertahan dari serangan, pembedaan ini memisahkan alat yang dapat diamati dari kesimpulan tentang siapa yang menyusun serangan, identitas operator, atau tingkat otonominya. Kehadiran asisten pemrograman dapat mendukung hipotesis tentang alur kerja, tetapi dengan sendirinya tidak dapat memastikan keputusan mana yang dibuat oleh model atau siapa yang mengarahkan operasi tersebut.

Perbaikan PHP dan Periode Eksploitasi Sebelumnya

Imbauan proyek PHP tertanggal 21 Oktober menyebut PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 sebagai rilis keamanan yang memperbaiki dua kerentanan eksekusi kode jarak jauh kritis tersebut. Kerentanan pertama terjadi ketika penanganan kehabisan memori menyebabkan data permintaan internal tidak sepenuhnya diinisialisasi; kerentanan lainnya terjadi ketika status internal yang sudah usang tetap bertahan setelah memori yang mendasarinya dibebaskan.

Proyek tersebut memperingatkan bahwa instalasi PHP yang melayani permintaan web berisiko, dengan tingkat risiko tertinggi menurut penilaian untuk konfigurasi mod_php Apache. Proyek itu menyatakan bahwa mitigasi parsial tidak memberikan perlindungan menyeluruh dan mengarahkan pengguna untuk memperbarui perangkat lunak. Untuk perangkat yang telah dikemas, langkah perbaikan praktis bergantung pada firmware yang didukung vendor dan perbaikan yang diintegrasikan kembali, bukan hanya pada nomor versi saat dijalankan.

Unite.AI sebelumnya membahas perbaikan PHP dan peran AI mutakhir dalam menemukan kelemahan tersebut. Laporan baru ini mengalihkan perhatian dari penemuan kerentanan ke dampak penerapan sistem yang terekspos.

Secara terpisah, Amazon Threat Intelligence melaporkan upaya eksploitasi PHP2Shell di jaringan honeypot MadPot mereka yang dimulai pada 17 Oktober, sebelum pengungkapan kepada publik. Telemetri tersebut tidak membuktikan bahwa operator yang sama melakukan kampanye yang diuraikan Dream.

AWS menyarankan agar waktu mitigasi kerentanan kritis yang menghadapi internet diukur dalam hitungan jam, penyelidikan dimulai dari waktu eksploitasi paling awal yang diketahui alih-alih tanggal pengungkapan, dan deteksi dikembangkan agar tidak semata-mata bergantung pada tanda tangan khusus CVE. Untuk PHP2Shell, AWS menyarankan penelusuran mundur setidaknya hingga 17 Oktober.

Posisi Teknologi Dream

Di situs web perusahaannya, Dream memosisikan Hero sebagai sistem riset siber otonom yang mendukung penyelidikan kerentanan, rekayasa balik malware, analisis forensik, dan perbaikan tervalidasi. Platform pelengkapnya, Sphere, berfokus pada pemetaan paparan dan penentuan prioritas pertahanan di lingkungan pemerintah dan infrastruktur kritis.

Perbedaan teknisnya terletak antara menyelidiki kelemahan tertentu dan memahami dampaknya di seluruh jaringan operasional. Perangkat perimeter, server pengelolaannya, dan direktori identitas mungkin memiliki pemilik serta siklus penambalan yang berbeda, tetapi penyerang dapat menghubungkan semuanya menjadi satu jalur. Penanganan yang efektif mengharuskan jalur tersebut diperiksa sekaligus dengan pemasangan pembaruan yang relevan.