Amazon Threat Intelligence mengidentifikasi upaya eksploitasi PHP2Shell yang tercatat pada 17 Oktober 2026 dalam telemetri honeypot Mad Pot, empat hari sebelum pengungkapan publik CVE-2026-109618 dan CVE-2026-109619. Upaya tersebut berasal dari alamat IP yang terkait dengan jaringan anonimisasi komersial. Meskipun kerentanan tersebut berada di bawah embargo, penargetan sebuah honeypot menunjukkan bahwa aktor ancaman sudah aktif, dan belum jelas bagaimana aktor tersebut memperoleh informasi eksploit sebelum pengungkapan.
Embargo PHP dijadwalkan berakhir pada 21 Oktober 2026 pukul 14.00 UTC. Amazon Threat Intelligence mengamati beberapa eksploit proof-of-concept pada hari rilis, yang paling awal sekitar pukul 02.00 UTC. Antara pukul 02.00 dan 08.00 UTC, upaya eksploitasi tambahan yang menargetkan Mad Pot berasal dari infrastruktur anonim lainnya. Variasi muatan (payload) menunjukkan adanya beberapa aktor, dan analisis teknis masih berlangsung untuk menentukan apakah ada upaya yang akan berhasil terhadap sistem nyata.
Dalam hitungan jam setelah rilis patch, lebih banyak eksploit proof-of-concept bermunculan dan digunakan terhadap sensor Amazon hampir seketika. PHP2Shell kini banyak dieksploitasi di dunia nyata. Amazon menarik dua pelajaran: embargo hanya melindungi pembela sampai pihak lain menemukan bug yang sama, dan tanggal pengungkapan publik mungkin bukan tanggal eksploitasi paling awal. Karena analisis berbantuan AI membuat proses mengubah patch menjadi eksploit yang berfungsi semakin murah, celah antara patch dan serangan semakin menyempit.
Tim keamanan sebaiknya mengukur waktu penerapan patch untuk kerentanan kritis yang menghadap internet dalam hitungan jam, bukan hari, memulai investigasi dari eksploitasi paling awal yang diketahui, dan menerapkan deteksi yang tidak bergantung pada signature khusus CVE. Meningkatkan ke versi PHP yang sudah diperbaiki adalah satu-satunya remediasi yang lengkap. Jika penerapan patch tidak bisa segera dilakukan, tim sebaiknya mempertimbangkan untuk memblokir unggahan file multi-bagian setelah menilai dampaknya terhadap aplikasi, serta meninjau log untuk permintaan POST yang mengandung string PHP_SESSION_UPLOAD_PROGRESS.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing