Dream rapporterer om PHP2Shell-angrebskæde, der kompromitterede 25 servere

Dream har rapporteret om en PHP2Shell-angrebskæde, som ifølge virksomheden kompromitterede 25 servere, herunder systemer i et miljø med tilknytning til den amerikanske regering. Undersøgelsen den 26. oktober beskriver, hvordan en eksponeret firewalladministrationsgrænseflade blev en vej ind til den interne identitetsinfrastruktur.

Det rapporterede antal omfatter 24 perimeterfirewalls og én intern administrationsserver. Dream tilbageholdt oplysninger om den berørte leverandør og softwareversionerne og oplyste, at virksomheden havde underrettet leverandøren.

Sådan krydsede udnyttelseskæden to sikkerhedsgrænser

Kæden kombinerede PHP2Shell, registreret som CVE-2026-109618 og CVE-2026-109619, med Linux-sårbarheden Fragnesia, der kan bruges til rettighedseskalering, CVE-2026-46300.

Disse sårbarheder overvinder forskellige barrierer. Fjernudførelse af kode giver en angriber mulighed for at køre kode via en tilgængelig tjeneste. Lokal rettighedseskalering kan derefter forvandle et begrænset fodfæste til kontrol over operativsystemet. Når de kombineres, ændres opgaven med at håndtere hændelsen: Efterforskerne må overveje, hvad den kompromitterede enhed kunne tilgå ud over sin egen administrationsgrænseflade.

Red Hat beskriver Fragnesia som en fejl i Linux-kernens XFRM ESP-in-TCP-undersystem. Usikker kryptografisk behandling kan gøre det muligt for en lokal angriber med begrænsede rettigheder at ændre sidecachen for skrivebeskyttede filer, overskrive privilegerede binærfiler og opnå root-rettigheder. Det er derfor en særskilt metode til rettighedseskalering og ikke det indledende, uautoriserede adgangspunkt.

Dream bekræftede udtræk af en adgangsoplysning til en LDAP-tjenestekonto og opregning af kataloget. Virksomheden kunne ikke fastslå, om forsøg på password spraying, oprettelse af bagdørskonti eller udtræk af SAML-signeringsnøglen lykkedes. Disse begrænsninger er vigtige: Bekræftet adgang til katalogoplysninger dokumenterer ikke, at Active Directory blev fuldstændig overtaget.

Hvad AI-beviserne viser

Efterforskerne fandt Claude Code installeret og en offensiv platform konfigureret med DeepSeek og Kimi. Dream sagde, at virksomheden ikke havde direkte beviser for, at disse værktøjer havde skrevet udnyttelseskoden eller scripts til efterfølgende udnyttelse, og beskrev ikke operationen som fuldt autonom. Den formodede forbindelse til Kina er usikker; virksomheden navngav ingen trusselsaktør.

For forsvarere er denne skelnen afgørende for at adskille observerbare værktøjer fra konklusioner om ophav, operatørens identitet eller graden af autonomi. Tilstedeværelsen af en kodeassistent kan understøtte en hypotese om arbejdsgangen, men kan ikke i sig selv fastslå, hvilke beslutninger en model traf, eller hvem der styrede operationen.

PHP-rettelserne og det tidligere udnyttelsesvindue

PHP-projektets sikkerhedsmeddelelse den 21. oktober angiver PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 som de sikkerhedsopdateringer, der retter de to kritiske sårbarheder, som muliggør fjernudførelse af kode. Den ene skyldes, at håndteringen af hukommelsesmangel efterlader interne anmodningsdata delvist initialiserede; den anden skyldes, at forældet intern tilstand bevares, efter at den hukommelse, den bygger på, er blevet frigivet.

Projektet advarer om, at PHP-installationer, der håndterer webanmodninger, er i fare, og vurderer risikoen som størst ved Apaches mod_php-konfiguration. Det oplyser, at delvise afhjælpninger ikke giver fuldstændig beskyttelse, og opfordrer brugerne til at opdatere. For pakkede enheder afhænger den praktiske afhjælpning af leverandørens understøttede firmware og tilbagesportede rettelser, ikke blot af versionsstrengen for kørselsmiljøet.

Unite.AI har tidligere dækket PHP-rettelserne og den rolle, banebrydende AI spillede i at finde fejlene. Denne nye rapport flytter fokus fra opdagelsen til konsekvenserne af en eksponeret installation.

Separat rapporterede Amazon Threat Intelligence om forsøg på at udnytte PHP2Shell i sit MadPot-honeypotnetværk fra den 17. oktober, før sårbarheden blev offentliggjort. Disse telemetridata fastslår ikke, at den samme operatør stod bag den kampagne, Dream beskriver.

AWS anbefaler, at man måler afhjælpningstider for kritiske sårbarheder i internetvendte systemer i timer, undersøger hændelser med udgangspunkt i det tidligst kendte udnyttelsestidspunkt frem for offentliggørelsesdatoen og udvikler detektioner, der ikke udelukkende bygger på en CVE-specifik signatur. For PHP2Shell anbefaler virksomheden at undersøge perioden mindst tilbage til den 17. oktober.

Dreams teknologi i sammenhæng

På sin virksomheds hjemmeside præsenterer Dream Hero som et autonomt system til cybersikkerhedsforskning, der understøtter undersøgelse af sårbarheder, reverse engineering af malware, retsmedicinsk analyse og validerede rettelser. Den supplerende Sphere-platform fokuserer på at kortlægge eksponering og prioritere forsvar i offentlige miljøer og miljøer med kritisk infrastruktur.

Den tekniske forskel handler om at undersøge en bestemt svaghed sammenlignet med at forstå, hvor den har betydning på tværs af et driftsnetværk. En perimeterenhed, dens administrationsserver og et identitetskatalog kan have forskellige ejere og opdateringscyklusser, men en angriber kan forbinde dem til én samlet angrebsvej. Effektiv inddæmning kræver, at man undersøger denne vej samtidig med, at de relevante opdateringer installeres.