Eksploitasi Aktif Celah Keamanan PHP2Shell: Ancaman Serius pada Firewall Palo Alto Networks

Perusahaan keamanan jaringan global, Palo Alto Networks, baru-baru ini mengeluarkan peringatan darurat terkait maraknya eksploitasi aktif terhadap kerentanan kritis yang baru saja ditambal. Kerentanan tersebut menargetkan antarmuka manajemen (management interface) yang terekspos secara langsung ke internet.

Ancaman ini dilacak dengan kode CVE-2026-109618 dan CVE-2026-109619 (skor CVSS 9.2), atau yang lebih dikenal sebagai celah PHP2Shell. Sifatnya sangat berbahaya karena memungkinkan penyerang untuk mengeksekusi kode dari jarak jauh (Remote Code Execution/RCE) tanpa memerlukan autentikasi pada sistem yang menjalankan versi PHP terdampak. PHP Foundation sendiri telah merilis perbaikan untuk masalah ini sejak 21 Oktober 2026 lalu.

Kombinasi Serangan yang Mematikan

Laporan terbaru mengindikasikan bahwa eksploitasi ini bukan sekadar serangan tunggal. Sebuah firma keamanan siber asal Israel melaporkan adanya aktor ancaman yang diduga memiliki keterkaitan dengan Tiongkok. Mereka memanfaatkan PHP2Shell bersamaan dengan celah eskalasi hak akses lokal pada kernel Linux yang dinamai Fragnesia (CVE-2026-46300, CVSS 7.8).

Dengan menggabungkan kedua celah ini, penyerang berhasil mengompromikan setidaknya 25 server yang tersebar di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan. Menariknya, tiga di antaranya berada di lingkungan yang berafiliasi dengan pemerintah AS. Setelah berhasil masuk, penyerang bergerak lateral menuju Active Directory, mengekstraksi kredensial, dan memetakan direktori korban.

Respons CISA dan Mitigasi

Menyikapi eskalasi ini, Badan Keamanan Siber dan Infrastruktur AS (CISA) bergerak cepat dengan memasukkan CVE-2026-46300 ke dalam katalog Known Exploited Vulnerabilities (KEV). Lembaga federal diwajibkan untuk menerapkan perbaikan paling lambat 31 Oktober 2026. CISA memperingatkan bahwa perpaduan celah ini memungkinkan penyerang menanam web shell PHP dan menjalankan perintah dengan hak akses root tertinggi.

Palo Alto Networks menegaskan bahwa risiko tertinggi terjadi pada sistem operasi PAN-OS yang mengizinkan akses antarmuka manajemen dari alamat IP eksternal. Masalah ini secara spesifik menyerang antarmuka web manajemen, termasuk UI web HTTPS dan layanan API XML.

Bagi pelanggan yang belum dapat melakukan pembaruan (update) ke versi terbaru, Palo Alto Networks merekomendasikan beberapa langkah mitigasi mendesak:

• Membatasi akses ke antarmuka manajemen hanya dari alamat IP internal yang tepercaya (sesuai praktik terbaik).
• Mengalihkan lalu lintas masuk untuk port MGT melalui port DP (data plane).
• Mengganti sertifikat untuk lalu lintas manajemen masuk.
• Mengaktifkan pencegahan ancaman (threat prevention) pada lalu lintas yang menuju layanan manajemen.

Insiden ini menjadi pengingat keras bahwa mengekspos antarmuka manajemen perangkat keamanan (seperti firewall) secara langsung ke internet publik adalah praktik yang sangat berisiko. Patch terbaru harus segera diterapkan sebelum penyerang mengambil alih kendali infrastruktur kritis.