Dream popisuje řetězec útoků PHP2Shell, který kompromitoval 25 serverů

Dream informovala o řetězci útoků PHP2Shell, který podle ní kompromitoval 25 serverů, včetně systémů v prostředí spojeném s vládou USA. Její vyšetřování z 26. října popisuje, jak se vystavené rozhraní pro správu firewallu stalo cestou k interní infrastruktuře pro správu identit.

Uvedený počet zahrnuje 24 hraničních firewallů a jeden interní server pro správu. Dream nezveřejnila dotčeného dodavatele ani verze softwaru a uvedla, že dodavatele informovala.

Jak řetězec zneužití překonal dvě bezpečnostní hranice

Řetězec útoků spojil PHP2Shell, evidovaný jako CVE-2026-109618 a CVE-2026-109619, se zranitelností Fragnesia v Linuxu, která umožňuje eskalaci oprávnění a je označena jako CVE-2026-46300.

Tyto zranitelnosti překonávají různé překážky. Vzdálené spuštění kódu umožňuje útočníkovi spouštět kód prostřednictvím dostupné služby. Lokální eskalace oprávnění pak může z omezeného přístupu vést k ovládnutí operačního systému. Jejich kombinace mění situaci při řešení incidentu: vyšetřovatelé musí zvážit, k čemu všemu mohla kompromitovaná appliance získat přístup mimo vlastní rozhraní pro správu.

Red Hat popisuje Fragnesia jako chybu v subsystému XFRM ESP-in-TCP jádra Linuxu. Nesprávné kryptografické zpracování může útočníkovi s nízkými oprávněními a lokálním přístupem umožnit pozměnit mezipaměť stránek souborů pouze pro čtení, přepsat binární soubory s privilegovaným přístupem a získat oprávnění uživatele root. Jde tedy o samostatný mechanismus eskalace oprávnění, nikoli o počáteční vstupní bod nevyžadující ověření.

Dream potvrdila získání přihlašovacího údaje servisního účtu LDAP a enumeraci adresáře. Nepodařilo se jí zjistit, zda byly úspěšné pokusy o útok typu password spraying, vytvoření účtu pro skrytý přístup ani získání podpisového klíče SAML. Na těchto omezeních záleží: potvrzený přístup k informacím v adresáři sám o sobě nedokládá úplné ovládnutí Active Directory.

Co dokládají důkazy týkající se AI

Vyšetřovatelé zjistili, že byl nainstalován Claude Code a že platforma pro ofenzivní činnost byla nakonfigurována s DeepSeek a Kimi. Dream uvedla, že nemá přímé důkazy o tom, že tyto nástroje vytvořily zneužívající kód nebo skripty pro činnost po zneužití, a operaci neoznačila za plně autonomní. Její předpoklad o možné vazbě na Čínu je předběžný; žádného aktéra hrozby nejmenovala.

Pro obránce toto rozlišení odděluje pozorovatelné nástroje od závěrů o autorství, totožnosti operátora nebo míře autonomie. Přítomnost asistenta pro programování může podpořit hypotézu o pracovním postupu, sama o sobě však nemůže určit, která rozhodnutí učinil model ani kdo operaci řídil.

Opravy PHP a období před zveřejněním zneužití

Bezpečnostní upozornění projektu PHP z 21. října uvádí PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 jako bezpečnostní verze, které opravují dvě kritické zranitelnosti umožňující vzdálené spuštění kódu. U jedné z nich způsobuje zpracování nedostatku paměti částečnou neinicializaci interních dat požadavku; u druhé přetrvává zastaralý interní stav i poté, co byla uvolněna paměť, kterou využíval.

Projekt varuje, že jsou ohroženy instalace PHP, které obsluhují webové požadavky; nejvyšší míru rizika přisuzuje konfiguraci Apache s mod_php. Uvádí, že částečná zmírňující opatření neposkytují úplnou ochranu, a uživatelům doporučuje aktualizaci. U zařízení dodávaných jako hotové sestavy závisí praktický způsob nápravy na firmwaru podporovaném dodavatelem a zpětně začleněných opravách, nikoli pouze na označení verze běhového prostředí.

Unite.AI se již dříve věnovala opravám PHP a úloze nejpokročilejších systémů AI při odhalování těchto chyb. Nová zpráva přesouvá pozornost od jejich odhalení k důsledkům nasazení vystaveného útokům.

Samostatně Amazon Threat Intelligence informovala o pokusech o zneužití PHP2Shell ve své síti honeypotů MadPot, které začaly 17. října, tedy ještě před veřejným zveřejněním zranitelností. Tato telemetrie nedokládá, že kampaň popsanou společností Dream vedl tentýž operátor.

AWS doporučuje měřit dobu zmírnění kritických zranitelností vystavených internetu v hodinách, zahájit vyšetřování od nejčasnějšího známého zneužití, nikoli od data zveřejnění, a vyvíjet detekční mechanismy, které nejsou závislé pouze na signatuře specifické pro konkrétní CVE. V případě PHP2Shell doporučuje prověřit období nejméně od 17. října.

Jak do tohoto kontextu zapadá technologie Dream

Na svých webových stránkách společnosti představuje Dream Hero jako autonomní systém pro kybernetický výzkum, který podporuje vyšetřování zranitelností, zpětnou analýzu malwaru, forenzní analýzu a ověřování oprav. Její doplňková platforma Sphere se zaměřuje na mapování vystavení rizikům a určování priorit obrany v prostředích státní správy a kritické infrastruktury.

Z technického hlediska je rozdíl mezi vyšetřováním konkrétní slabiny a pochopením toho, kde představuje riziko v rámci provozní sítě. Hraniční zařízení, jeho server pro správu a adresář identit mohou mít různé vlastníky a cykly aktualizací, útočník je však může propojit do jediné cesty. Účinné omezení incidentu vyžaduje tuto cestu prověřit a zároveň nainstalovat příslušné aktualizace.