Celah PHP Dieksploitasi, Antarmuka Perusahaan Keamanan Jaringan Jadi Target

Palo Alto Networks, perusahaan keamanan jaringan terkemuka, baru-baru ini mengeluarkan peringatan penting mengenai eksploitasi aktif terhadap dua celah keamanan PHP (PHP2Shell) yang sangat kritis. Kerentanan ini secara khusus menargetkan antarmuka manajemen perangkat yang terekspos ke internet, berpotensi memungkinkan penyerang untuk menjalankan kode dari jarak jauh tanpa melalui proses autentikasi.

Kedua celah keamanan tersebut, yang diidentifikasi dengan kode CVE-2026-109618 dan CVE-2026-109619, memperoleh skor CVSS 9.2, menempatkannya dalam kategori kritis. Ancaman ini dikenal sebagai Remote Code Execution (RCE), yaitu kemampuan penyerang untuk menjalankan perintah atau kode berbahaya pada sistem target dari lokasi yang jauh. Kondisi ini menjadi semakin berisiko bagi sistem yang antarmuka manajemennya terhubung langsung dan dapat diakses dari internet publik.

Pembaruan dan Perbaikan PHP

Menyadari tingkat bahaya dari celah-celah ini, PHP Foundation telah merilis perbaikan penting pada 21 Oktober 2026. Pembaruan ini tersedia untuk berbagai versi PHP, termasuk 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Namun, bagi pengguna produk Palo Alto Networks, ketersediaan perbaikan untuk versi PAN-OS yang terdampak perlu diperiksa secara terpisah melalui advisori resmi perusahaan.

Kombinasi Serangan Meluas ke Server Global

Peringatan dari Palo Alto Networks ini muncul beberapa hari setelah perusahaan keamanan siber Dream melaporkan dugaan adanya aktor ancaman yang terkait dengan Tiongkok. Menurut laporan Dream, kelompok ini memanfaatkan PHP2Shell bersama dengan celah eskalasi hak akses pada kernel Linux yang dikenal sebagai Fragnesia (CVE-2026-46300).

Kombinasi kerentanan ini, seperti yang diuraikan oleh Dream, digunakan untuk memperoleh akses root—hak istimewa tingkat tertinggi—pada 25 server di berbagai negara, termasuk Amerika Serikat, Jepang, Taiwan, dan Korea Selatan. Laporan Dream secara spesifik menyebutkan bahwa tiga dari server yang terdampak berlokasi di lingkungan yang berafiliasi dengan pemerintah Amerika Serikat. Selain itu, Dream juga mencatat adanya serangan terhadap Active Directory, pencurian kredensial, dan pemetaan direktori jaringan. Meskipun Dream tidak mengungkapkan nama vendor perangkat firewall yang terdampak, waktu kemunculan kedua laporan ini mengindikasikan kemungkinan keterkaitan. Namun, hingga saat ini belum ada konfirmasi resmi yang menyatakan bahwa insiden-insiden tersebut merupakan bagian dari serangan yang sama.

Risiko Antarmuka Manajemen yang Terbuka

Palo Alto Networks menjelaskan bahwa risiko eksploitasi celah ini meningkat secara signifikan ketika antarmuka manajemen PAN-OS dapat diakses melalui alamat IP eksternal. Komponen yang berpotensi terdampak meliputi antarmuka web berbasis HTTPS dan layanan XML API. Sejumlah versi PAN-OS dan Panorama telah dikonfirmasi masuk dalam daftar yang terpengaruh. Ketersediaan pembaruan untuk perangkat lunak ini bervariasi, sehingga administrator didesak untuk secara proaktif memeriksa advisori resmi guna menentukan perbaikan yang sesuai untuk sistem mereka.

Langkah Mitigasi dan Batas Waktu CISA

Untuk mengurangi potensi risiko, Palo Alto Networks sangat merekomendasikan administrator untuk membatasi akses ke antarmuka manajemen. Akses seharusnya hanya diberikan kepada alamat IP internal yang tepercaya. Apabila pembaruan perangkat lunak belum tersedia, administrator wajib menerapkan langkah-langkah mitigasi yang direkomendasikan oleh perusahaan.

Sementara itu, Badan Keamanan Siber dan Infrastruktur AS (CISA) telah memasukkan celah Fragnesia (CVE-2026-46300) ke dalam katalog Known Exploited Vulnerabilities (KEV) miliknya. CISA menetapkan 31 Oktober 2026 sebagai tenggat waktu bagi lembaga federal di Amerika Serikat untuk menerapkan perbaikan yang diperlukan terkait kerentanan ini. Tindakan cepat dan strategis sangat diperlukan untuk melindungi sistem dari serangan yang semakin canggih.