Perusahaan keamanan Dream mengungkap serangan yang merantai dua celah PHP2Shell dengan satu celah eskalasi hak akses Linux bernama Fragnesia. Hasilnya, penyerang menguasai penuh 25 server, yaitu 24 firewall dan satu server manajemen internal. Tiga di antaranya berada di lingkungan lembaga yang terkait pemerintah Amerika Serikat. Dream menerbitkan laporannya pada 26 Oktober, dan The Hacker News serta Tom’s Guide memberitakannya pada 28 Oktober.
Bagaimana serangan berjalan
Menurut Dream, penyerang memakai mesin pencari perangkat FOFA untuk menemukan sekitar 19.000 firewall dengan antarmuka manajemen yang terbuka ke internet. Sekitar 5.000 perangkat merespons pemindaian. Daftar itu disaring ke Amerika Serikat, Jepang, Taiwan, dan Korea Selatan serta ke build PHP 8.0.30, sehingga tersisa 240 target. Dari jumlah itu, 25 server berhasil dikuasai. Penyerang lalu menanam web shell dan membangun terowongan SSH yang bertahan di salah satu jaringan pemerintah.
Dari server manajemen yang dikuasai, penyerang mencoba menyerang Active Directory: membaca daftar pengguna, menebak sandi, dan berusaha membuat akun pintu belakang. Dream tidak bisa memastikan apakah upaya itu berhasil. Vendor firewall tidak disebutkan, dan Dream mengaku sudah memberi tahu pihak yang terdampak.
Dream menemukan Claude Code dan platform pemindai aiscan, yang disetel memakai model DeepSeek dan Kimi, di infrastruktur penyerang. Sekitar 40 skrip kustom juga tampak ditulis dengan struktur yang seragam. Namun Dream menegaskan tidak ada bukti langsung bahwa AI menulis exploitnya, dan serangan ini bukan serangan otonom penuh. Dream menunjuk indikator yang mengarah ke aktor terkait China, seperti pilihan target, penggunaan FOFA, dan stempel waktu UTC+8. Dream belum menyebut nama kelompok, jadi atribusi ini masih dugaan.
Celah yang terlibat
CVE-2026-109618 dan CVE-2026-109619 adalah dua celah PHP2Shell berskor CVSS 9,2 yang memungkinkan eksekusi kode jarak jauh tanpa login. Seperti kami tulis di liputan masuknya PHP2Shell ke daftar KEV CISA, tim PHP sudah menambalnya di versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Fragnesia adalah CVE-2026-46300, celah eskalasi hak akses lokal di kernel Linux dengan skor CVSS 7,8. Laporan yang kami baca tidak menyebut versi kernel yang sudah diperbaiki.
Langkah yang perlu diambil
Administrator yang mengoperasikan firewall atau perangkat jaringan berbasis PHP sebaiknya memeriksa dulu apakah antarmuka manajemennya terbuka ke internet, lalu membatasinya ke jaringan internal atau VPN. Terapkan pembaruan dari vendor perangkat dan pembaruan kernel dari distribusi Linux yang dipakai. Periksa juga web shell baru, terowongan SSH keluar yang tidak dikenal, serta akun dan aktivitas autentikasi yang janggal di Active Directory. Karena penyerang bisa bertahan lewat terowongan dan web shell, menambal saja tidak cukup untuk perangkat yang sudah sempat terpapar. Anggap perangkat itu berpotensi sudah dikuasai sampai pemeriksaan selesai, dan ganti kredensial yang tersimpan di dalamnya.
Sumber: The Hacker News dan laporan Dream. Gambar: The Hacker News.