Amazon Ungkap Eksploitasi Celah PHP2Shell Sudah Dimulai 4 Hari Sebelum Patch Resmi Dirilis
Tim peneliti keamanan di Amazon Threat Intelligence mengungkapkan bahwa para pelaku ancaman telah mulai menargetkan kerentanan kritis PHP2Shell sejak empat hari sebelum pembaruan keamanan (patch) resmi dirilis pada Rabu, 21 Oktober 2026 lalu.
Dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, kedua kerentanan tingkat kritis ini memungkinkan penyerang tanpa autentikasi untuk mendapatkan akses eksekusi kode jarak jauh (Remote Code Execution / RCE) pada sistem yang rentan. Tim keamanan PHP resmi menambal kedua celah tersebut pada 21 Oktober, sehari setelah mendesak para administrator sistem untuk bersiap memasang pembaruan segera setelah tersedia.
Sebelum pengungkapan publik dilakukan, pengembang inti PHP Gina Peter Banyard telah memperingatkan bahwa penerapan patch keamanan resmi adalah satu-satunya pertahanan permanen. Di sisi lain, Badan Keamanan Siber Nasional Inggris (NCSC) bahkan meminta organisasi-organisasi di wilayahnya untuk segera memperbarui server PHP atau mematikannya sementara (offline) hingga sistem berhasil ditambal.
Tim pengembang PHP menjelaskan bahwa seluruh proses koordinasi awalnya berjalan sesuai rencana, hingga akhirnya dua hari sebelum jadwal pengungkapan resmi—yakni mulai 20 Oktober—mereka terpaksa mempercepat jadwal rilis. Langkah ini diambil setelah sejumlah rincian mengenai celah PHP2Shell, termasuk kedua kode CVE dan panduan mitigasi yang sebelumnya dibagikan secara terbatas kepada penyedia infrastruktur kritis, bocor di internet. Meskipun beberapa kode pembuktian konsep (Proof-of-Concept / PoC) sempat beredar sebelum patch dirilis, tim keamanan PHP menegaskan bahwa tidak ada satu pun dari PoC awal tersebut yang berfungsi secara efektif.
Aktivitas Eksploitasi Sejak Masa Embargo
Laporan dari Amazon Threat Intelligence ini menyusul temuan serupa dari berbagai perusahaan keamanan siber lainnya—termasuk Cloudflare, watchTowr, Previdian, Hadrian, dan Patchstack—yang mendeteksi adanya upaya eksploitasi yang gagal sebelum pengungkapan publik dilakukan.
Menurut catatan Amazon, percobaan eksploitasi pertama kali terdeteksi pada Sabtu, 17 Oktober 2026 (empat hari sebelum patch PHP2Shell dirilis). Para penyerang juga terpantau mengerahkan berbagai exploit PoC PHP2Shell hanya dalam hitungan jam setelah pengungkapan resmi menggunakan alamat IP dari jaringan VPN.
“Upaya eksploitasi tersebut berasal dari alamat IP yang terkait dengan jaringan anonimisasi komersial. Mengingat saat itu kerentanan masih berada di bawah status embargo, penargetan sistem honeypot dari alamat IP anonim mengindikasikan bahwa aktivitas ini dilakukan oleh pelaku ancaman, meskipun masih belum jelas bagaimana pelaku mendapatkan informasi exploit sebelum pengungkapan resmi,” ujar Chief Information Security Officer (CISO) AWS, CJ Moses.
Moses menambahkan bahwa muatan serangan (payload) aktual dan pilihan infrastruktur anonimisasi yang digunakan sangat bervariasi, yang menunjukkan keterlibatan banyak aktor ancaman berbeda. Meskipun analisis teknis masih terus berjalan dan belum dapat dipastikan apakah upaya-upaya awal tersebut berhasil menembus sistem di dunia nyata, ia menegaskan bahwa kerentanan PHP2Shell kini tengah dieksploitasi secara luas di lapangan (in the wild).
“Para pengelola pertahanan jaringan tidak boleh berasumsi bahwa tanggal pengungkapan publik adalah tanggal paling awal terjadinya eksploitasi,” tegas Moses.
Mayoritas Upaya Serangan Masih Sebatas Pemindaian dan Exploit Gagal
Sebagai informasi tambahan, tim Threat Research and Cyber Engineering (TRACE) dari Dataminr turut mempublikasikan laporan pada 22 Oktober yang menyoroti bahwa aktivitas yang terpantau sejak pengungkapan kerentanan sejauh ini masih terbatas pada aksi pemindaian (scanning), fingerprinting, serta penggunaan exploit yang tidak berfungsi, tanpa adanya kasus kompromi sistem yang terkonfirmasi. Kendati demikian, mereka memperingatkan bahwa kemunculan kode PoC yang benar-benar berfungsi atau aktivitas eksploitasi yang sukses hanyalah masalah waktu.
Sebagai bahasa pemrograman web open-source sisi server, PHP saat ini menopang hingga 80% situs web di internet, termasuk berbagai platform sistem manajemen konten (CMS) populer seperti WordPress, Drupal, dan Joomla. Data dari VirusTotal saat ini melacak adanya lebih dari 5,1 juta hos PHP yang terekspos secara daring, dengan sekitar 3,8 juta di antaranya memiliki setidaknya satu port terbuka yang rentan terhadap serangan.
Sumber: Amazon Threat Intelligence / Dataminr TRACE
