Celah kritis PHP2Shell bukan sekadar peringatan teoretis. Serangan eksploitasi sudah terdeteksi bahkan sebelum patch resmi tersedia.
Pemilik situs dari berbagai kalangan, termasuk instansi pemerintah, perusahaan, media, dan blog WordPress, diminta segera mengambil tindakan.
Eksploitasi Aktif Sebelum Patch
Patchstack menerima laporan insiden eksploitasi aktif dari mitra hosting pada Rabu (21/10) pukul 07.34 UTC, beberapa jam sebelum patch dirilis.
CTO Cloudflare Dane Knecht juga melaporkan serangan awal, sementara Amazon Threat Intelligence mendeteksi upaya eksploitasi sejak Sabtu (17/10) di jaringan umpan MadPot.
Kode yang diklaim dapat mengeksploitasi celah ini telah beredar di GitHub.
Sebagian disebut tidak berfungsi, tetapi peneliti Tolmo Matt Suiche menyatakan timnya berhasil membuat eksploit yang bekerja dalam waktu kurang dari sehari berkat bantuan AI.
Sebelumnya, pekerjaan semacam itu membutuhkan waktu berminggu-minggu.
Skala Paparan dan Versi PHP Lawas
Dua pemindaian internet memberikan gambaran risiko.
VirusTotal mencatat sekitar 5,1 juta alamat IP menjalankan PHP, sedangkan Modat menemukan 4,38 juta layanan PHP di 1,89 juta host.
Masalah utamanya, sebagian besar server masih menggunakan PHP versi lawas yang sudah tidak didukung.
Menurut Modat, sekitar 79% layanan yang versinya terbaca berjalan di cabang yang telah habis masa dukungannya.
PHP 7.4, yang pensiun sejak 2022, masih dipakai di 878.761 layanan, lebih banyak dari cabang mana pun yang masih didukung.
Versi-versi lawas ini tidak akan mendapat perbaikan resmi, sehingga pemilik situs perlu segera beralih ke versi yang masih didukung.
