DETIKANOA.COM–Celah keamanan kritis PHP2Shell ternyata sudah menjadi sasaran serangan siber sejak 17 Oktober 2026, atau empat hari sebelum pembaruan keamanan (patch) dirilis. Temuan ini diungkap oleh Amazon Threat Intelligence, tim intelijen keamanan siber milik Amazon, melalui laporan yang diterbitkan di blog resmi Amazon Web Services (AWS), Rabu (21/10/2026). Dalam laporannya, Amazon menyebut upaya eksploitasi PHP2Shell sudah terdeteksi sebelum dua celah keamanan dengan kode CVE-2026-109618 dan CVE-2026-109619, diumumkan ke publik. Awalnya, Amazon menemukan aktivitas tersebut melalui MadPot, sistem keamanan yang digunakan AWS untuk memantau berbagai upaya serangan siber.
MadPot bekerja menggunakan teknologi honeypot, yaitu server umpan yang sengaja disiapkan untuk menarik serangan peretas agar aktivitasnya bisa diamati. Menurut Chief Information Security Officer (CISO) AWS, CJ Moses, serangan tersebut berasal dari alamat IP yang terhubung dengan anonimisasi komersial.
Anonimisasi komersial merupakan layanan yang bisa menghapus atau mengubah informasi pribadi (PII) dari kumpulan data komersial sehingga individu di dalamnya tidak dapat diidentifikasi lagi. "Payload yang digunakan dan pilihan infrastruktur anonimisasi berbeda-beda, sehingga mengindikasikan keterlibatan beberapa pelaku," kata Moses, dikutip KompasTekno dari blog AWS. Temuan ini menarik perhatian tim Amazon, karena ketika serangan terjadi, informasi mengenai PHP2Shell sendiri masih dalam masa embargo, alias belum boleh diumumkan ke publik. Penggunaan alamat IP anonim untuk menyerang sistem umpan Amazon pun mengindikasikan adanya aktivitas yang disengaja oleh pelaku ancaman siber. Meski demikian, dalam laporannya, Amazon mengaku bahwa pihaknya belum mengetahui bagaimana pelaku bisa memperoleh informasi mengenai celah PHP2Shell sebelum pengungkapan resminya. "Analisis teknis masih berlangsung dan belum jelas apakah upaya-upaya tersebut akan berhasil pada sistem yang digunakan di dunia nyata," lanjut Moses.
Serangan berlanjut pada 21 Oktober
Upaya eksploitasi PHP2Shell kembali terdeteksi pada Rabu (21/10/2026), tepat pada hari ketika pembaruan keamanan untuk kedua celah tersebut dijadwalkan dirilis. Menurut laporan AWS, tim mulai menemukan sejumlah contoh kode eksploitasi atau proof of concept (PoC) mulai sekitar pukul 02.00 UTC atau 09.00 WIB.
PoC merupakan contoh kode yang digunakan untuk menunjukkan bagaimana suatu celah keamanan dapat dimanfaatkan.
Nah dalam rentang pukul 02.00 - 08.00 UTC (09.00 - 15.00 WIB), sistem MadPot juga mencatat ada upaya serangan dari beberapa alamat IP lain. Padahal, PHP2Shell baru diumumkan secara resmi pada 21 Oktober pukul 14.00 UTC (21.00 WIB), bersamaan dengan perilisan patch keamanan. Amazon menyebut, setelah pengumuman tersebut, semakin banyak contoh kode eksploitasi bermunculan. Dalam hitungan jam, kode-kode itu juga mulai digunakan untuk menyerang sistem pemantauan Amazon.
Periksa aktivitas sejak 17 Oktober
Temuan Amazon menunjukkan bahwa upaya serangan terhadap suatu celah keamanan bisa terjadi bahkan sebelum informasi kerentanannya diumumkan ke publik. Karena itu, tanggal pengumuman resmi tidak selalu bisa dijadikan patokan awal untuk memeriksa kemungkinan serangan,. Dalam kasus PHP2Shell sendiri, Amazon menyarankan pengelola website untuk memeriksa riwayat aktivitas server setidaknya sejak 17 Oktober 2026, ketika upaya eksploitasi pertama kali terdeteksi.
Selain itu, AWS memperingatkan pengelola website agar segera memperbarui PHP ke versi yang telah mendapatkan perbaikan keamanan, yakni PHP 8.5.12; 8.4.27; 8.3.36; atau 8.2.35.
Komentar (0)