Executive summary

Saya baru baca laporan SecurityWeek soal gelombang eksploitasi bug PHP2Shell yang sudah berjalan lebih dari seminggu, dan yang menarik justru kesenjangan hasilnya: segelintir firewall Palo Alto Networks berhasil di-root total, sementara jutaan instalasi WordPress yang jadi target malah nyaris tidak ada yang bobol. Ini contoh bagus kenapa jumlah percobaan eksploitasi tidak berkorelasi langsung dengan jumlah korban nyata.

The problem it solves

Ini bukan soal "solusi", tapi soal insiden nyata. Dua CVE, CVE-2026-109618 dan CVE-2026-109619, ada di fitur PHP2Shell pada PAN-OS, dan dieksploitasi lewat management interface yang terekspos ke internet. Yang bikin serangan ini berbahaya bukan cuma bug itu sendiri, tapi karena dirangkai (chained) dengan bug privilege escalation kernel Linux bernama Fragnesia. Kombinasi dua exploit ini — satu untuk masuk, satu untuk naik ke root — yang dipakai kelompok hacker terkait China untuk deploy webshell dengan privilege root di firewall. Menurut laporan, prosesnya dibantu AI. Di sisi lain, PHP sendiri dipakai luas di CMS seperti WordPress, Drupal, Joomla, jadi permukaan serangnya besar, tapi eksekusi yang sukses ternyata jauh lebih sulit dari yang dibayangkan.

Key features and code examples

Beberapa angka konkret yang saya catat dari laporan:

  • Palo Alto Networks sudah merilis patch untuk PAN-OS 12.2, 12.1, 11.2, 11.1, dan 10.2, mencakup PA-Series, VM-Series, dan Panorama (virtual maupun M-Series).
  • Dream Research melaporkan setidaknya 25 firewall berhasil dibobol dari ratusan yang jadi target, dan Unit 42 (tim riset Palo Alto) sudah memverifikasi independen temuan ini.
  • Perusahaan menyebut hanya sekitar 0,02% dari total basis instalasi global mereka yang punya management interface terekspos ke internet dan kena dampak — dan pelanggan itu sudah dikontak satu per satu.
  • Telemetri Palo Alto per 29 Oktober mencatat lebih dari 22,6 juta instance PHP yang terdampak potensi bug PHP2Shell.
  • Defiant (pembuat Wordfence) mencatat lebih dari 77.000 request terkait eksploitasi dari lebih 2.000 IP, tapi per 28 Oktober belum ada satu pun situs WordPress yang terkonfirmasi bobol — exploit publik ternyata harus disesuaikan tergantung ASLR, build PHP, ekstensi yang aktif, memory limit, dan cara server menangani request.
  • Cato Networks mencatat sekitar 96% serangan yang mereka blokir menyasar CVE-2026-109618, dengan 41% di antaranya mencoba remote code execution (RCE), sisanya scanning atau PoC yang gagal.
  • WatchTowr mengamati satu IP di Jerman yang berhasil eksploitasi, tapi cuma menjalankan command curl sederhana untuk membuktikan keberhasilan — tanpa aktivitas post-exploitation lanjutan.

Karena laporan ini tidak menyertakan detail payload-nya, berikut ilustrasi sederhana (bukan dari sumber, cuma gambaran langkah mitigasi dasar yang relevan buat admin PAN-OS):

# Ilustrasi: cek dan tutup akses management interface PAN-OS dari internet
# (perintah aktual tergantung versi PAN-OS dan setup jaringan Anda)
ssh admin@firewall
> set deviceconfig system permitted-ip <IP_INTERNAL_ONLY>
> commit

Impact and upgrade notes

Kalau ada firewall Palo Alto dengan management interface yang terekspos ke internet, ini prioritas darurat: terapkan patch PAN-OS yang sudah dirilis dan segera batasi akses ke management interface tersebut, karena menurut advisory resminya, eksploitasi aktif tidak butuh konfigurasi khusus apa pun di sisi korban — cukup interface itu terbuka ke internet. Untuk pengelola WordPress/Drupal/Joomla, laporan ini bukan alasan untuk santai; Defiant tetap menekankan bahwa update PHP esensial, karena attacker masih terus menyesuaikan tooling mereka dan keberhasilan eksploitasi bisa memberi akses ke file, database, dan password situs.

---

Pertama diumumkan di SecurityWeek. Baca sumber aslinya untuk detail lengkap.

Baca juga