Jejak pertama muncul sebelum tanggal pengungkapan
Amazon Threat Intelligence mengatakan telah menemukan percobaan eksploitasi PHP2Shell pada jaringan honeypot MadPot yang tercatat pada 17 Oktober 2026. Temuan itu muncul empat hari sebelum PHP Foundation membuka embargo dan menerbitkan perbaikan untuk dua kerentanan kritis pada 21 Oktober pukul 14.00 UTC. Rincian tersebut dimuat dalam laporan resmi AWS.
Waktu ini penting, tetapi maknanya perlu dibatasi dengan tepat. AWS menyebutnya sebagai exploitation attempt, atau percobaan eksploitasi, terhadap sensor MadPot. Sumber tersebut tidak menyatakan bahwa pelaku berhasil menembus server pelanggan, mengambil data, atau meninggalkan korban nyata. AWS juga menulis bahwa belum jelas apakah percobaan yang diamati akan berhasil pada sistem dunia nyata. Dengan kata lain, temuan itu adalah sinyal aktivitas ancaman, bukan konfirmasi pembobolan.
Embargo dibuka pada 21 Oktober
Kerentanan yang kemudian dikenal sebagai PHP2Shell adalah CVE-2026-109618 dan CVE-2026-109619. Dalam penjelasan PHP Foundation, keduanya digambarkan sebagai masalah kritis yang pada kondisi tertentu dapat memungkinkan eksekusi kode tanpa autentikasi. Rilis resmi memperbaiki cabang PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
Urutan waktunya juga dilaporkan oleh The Hacker News, CNBC, dan Infosecurity Magazine. Ketiganya mengutip temuan AWS tentang tanggal 17 Oktober dan membedakannya dari gelombang percobaan setelah patch dirilis. AWS mengatakan beberapa PoC mulai terlihat pada 21 Oktober sekitar pukul 02.00 UTC, lalu percobaan tambahan menyasar sensor MadPot sebelum embargo berakhir.
Risiko meningkat setelah patch tersedia
Setelah pengungkapan, AWS melihat lebih banyak percobaan dari infrastruktur yang dianonimkan. Perbedaan payload dan jaringan yang digunakan mengindikasikan keterlibatan lebih dari satu aktor, tetapi analisis teknis masih berjalan. CISA dalam alert resminya meminta organisasi segera menambal PHP dan menyatakan bahwa saat publikasi, CISA belum mengamati eksploitasi yang berhasil di alam liar.
Pemilik situs dan pelanggan hosting sebaiknya membaca peringatan ini sebagai alasan untuk mempercepat inventarisasi dan pembaruan, bukan sebagai bukti bahwa semua server PHP telah disusupi. Untuk konteks keamanan yang lebih luas, baca juga artikel komputer.review tentang peretas yang memakai agen AI. Artikel itu membahas laporan berbeda dan tidak menyatakan adanya hubungan dengan PHP2Shell.
Perbedaan antara sensor dan korban juga penting bagi pembaca yang menerima notifikasi keamanan. Honeypot memang sengaja dibuat untuk menarik dan merekam aktivitas berbahaya, sehingga adanya permintaan di sana menunjukkan bahwa teknik atau informasi tertentu sudah beredar di antara pelaku. Namun, data itu tidak memberi dasar untuk menyimpulkan bahwa situs tertentu telah berhasil dieksekusi. Konfirmasi insiden membutuhkan pemeriksaan aset, log, proses, file, dan kredensial milik organisasi yang terdampak.
Dalam pembaruan situasi, jangan hanya mencari kecocokan alamat IP. AWS mengingatkan bahwa alamat yang diamati dapat berasal dari infrastruktur anonimisasi bersama dan tidak eksklusif untuk aktivitas ini. Temuan IP sebaiknya menjadi pemicu penyelidikan, bukan alasan tunggal untuk memblokir atau menuduh sebuah jaringan. Pemilik layanan perlu mencatat rentang waktu, sistem yang menerima permintaan, akun yang aktif, dan perubahan setelah kejadian.
Kesimpulan sementara
Fakta yang paling kuat per 26 Oktober adalah adanya percobaan pada honeypot AWS pada 17 Oktober, publikasi patch dan advisory pada 21 Oktober, serta aktivitas lanjutan setelah detail teknis tersedia. Statusnya tetap percobaan terhadap sensor, bukan konfirmasi korban atau pelanggaran pada pelanggan AWS. Pemeriksaan log dan penerapan versi PHP yang diperbaiki tetap diperlukan karena tanggal disclosure bukan jaminan bahwa aktivitas pertama baru dimulai pada hari itu.
Sumber rujukan
- AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
- PHP Foundation: Today's PHP Security Release, and How We're Strengthening PHP Security
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- The Hacker News: Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed
- CNBC: PHP2Shell vulnerability: What is it, and is your data at risk?
- Infosecurity Magazine: PHP2Shell Exploitation Attempt Detected Four Days Before Disclosure