Dream meldet Angriffskette mit PHP2Shell, durch die 25 Server kompromittiert wurden

Dream hat über eine PHP2Shell-Angriffskette berichtet, durch die nach eigenen Angaben 25 Server kompromittiert wurden, darunter Systeme in einer Umgebung mit Verbindung zur US-Regierung. Die Untersuchung vom 26. Oktober beschreibt, wie eine offengelegte Firewall-Verwaltungsschnittstelle einen Weg zur internen Identitätsinfrastruktur eröffnete.

Die gemeldete Gesamtzahl umfasst 24 Perimeter-Firewalls und einen internen Verwaltungsserver. Dream nannte weder den betroffenen Hersteller noch die Softwareversionen und erklärte, den Hersteller benachrichtigt zu haben.

Wie die Angriffskette zwei Sicherheitsgrenzen überwand

Die Angriffskette kombinierte PHP2Shell, geführt unter CVE-2026-109618 und CVE-2026-109619, mit der Linux-Schwachstelle Fragnesia zur Rechteausweitung, CVE-2026-46300.

Diese Schwachstellen überwinden unterschiedliche Hürden. Durch die Ausführung von Code aus der Ferne kann ein Angreifer über einen erreichbaren Dienst Code ausführen. Eine lokale Rechteausweitung kann einen eingeschränkten Zugang anschließend in die Kontrolle über das Betriebssystem verwandeln. Ihre Kombination verändert die Anforderungen an die Reaktion auf den Sicherheitsvorfall: Ermittler müssen berücksichtigen, worauf das kompromittierte Gerät über seine eigene Verwaltungsschnittstelle hinaus zugreifen konnte.

Red Hat beschreibt Fragnesia als Schwachstelle im XFRM-ESP-in-TCP-Subsystem des Linux-Kernels. Eine unsichere kryptografische Verarbeitung kann es einem lokalen Angreifer mit geringen Berechtigungen ermöglichen, den Seitencache schreibgeschützter Dateien zu verändern, privilegierte Binärdateien zu überschreiben und Root-Rechte zu erlangen. Es handelt sich daher um einen eigenständigen Mechanismus zur Rechteausweitung und nicht um den ersten Zugangspunkt, der keine Authentifizierung erfordert.

Dream bestätigte den Diebstahl eines Zugangsschlüssels für ein LDAP-Dienstkonto sowie die Enumeration des Verzeichnisses. Das Unternehmen konnte nicht feststellen, ob Passwort-Spraying, der versuchte Aufbau eines Hintertürkontos oder das Auslesen des SAML-Signaturschlüssels erfolgreich waren. Diese Einschränkungen sind wichtig: Der bestätigte Zugriff auf Verzeichnisinformationen belegt keine vollständige Übernahme von Active Directory.

Was die KI-Belege aussagen

Ermittler fanden Claude Code installiert und eine offensive Plattform, die mit DeepSeek und Kimi konfiguriert war. Dream erklärte, es gebe keine direkten Belege dafür, dass diese Werkzeuge den Exploit oder die Skripte für die Aktivitäten nach dem Eindringen erstellt hätten, und bezeichnete den Vorgang nicht als vollständig autonom. Die vermutete Verbindung zu China ist vorläufig; Dream nannte keinen Bedrohungsakteur.

Für Verteidiger ist diese Unterscheidung entscheidend: Beobachtbare Werkzeuge sind nicht gleichbedeutend mit Schlussfolgerungen über die Urheberschaft, die Identität der Betreiber oder den Grad der Autonomie. Ein vorhandener Programmierassistent kann eine Hypothese zum Arbeitsablauf stützen, für sich genommen aber weder belegen, welche Entscheidungen ein Modell getroffen hat, noch, wer den Vorgang gesteuert hat.

Die PHP-Patches und das frühere Zeitfenster für Angriffe

Der Sicherheitshinweis des PHP-Projekts vom 21. Oktober nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als Sicherheitsversionen, die die beiden kritischen Schwachstellen zur Remotecodeausführung beheben. Bei der einen sorgt die Behandlung eines Speichermangels dafür, dass interne Anfragedaten teilweise nicht initialisiert bleiben; bei der anderen bleibt ein veralteter interner Zustand bestehen, nachdem der zugrunde liegende Speicher freigegeben wurde.

Das Projekt warnt, dass PHP-Installationen, die Webanfragen verarbeiten, gefährdet sind; das höchste Risiko wird für die Apache-Konfiguration mit mod_php eingeschätzt. Teilweise Schutzmaßnahmen böten keinen vollständigen Schutz, daher fordert das Projekt die Nutzer zum Aktualisieren auf. Bei Appliances mit vorinstallierten Softwarepaketen hängt die praktische Behebung davon ab, welche Firmware der Hersteller unterstützt und welche Fehlerkorrekturen zurückportiert wurden – eine Versionsangabe der Laufzeitumgebung allein reicht nicht aus.

Unite.AI hat bereits über die PHP-Patches und die Rolle führender KI bei der Entdeckung der Schwachstellen berichtet. Der neue Bericht richtet den Blick von der Entdeckung auf die Folgen eines nach außen exponierten Einsatzes.

Unabhängig davon meldete Amazon Threat Intelligence Versuche, PHP2Shell auszunutzen, die ab dem 17. Oktober in seinem MadPot-Honeypot-Netzwerk beobachtet wurden – noch vor der öffentlichen Bekanntgabe. Diese Telemetriedaten belegen nicht, dass derselbe Betreiber die von Dream beschriebene Kampagne durchgeführt hat.

AWS empfiehlt, die Behebungsfristen für kritische Schwachstellen in internetseitig erreichbaren Systemen in Stunden zu messen, die Untersuchung beim frühesten bekannten Ausnutzungsversuch statt beim Datum der Bekanntgabe anzusetzen und Erkennungsverfahren zu entwickeln, die nicht ausschließlich von einer CVE-spezifischen Signatur abhängen. Bei PHP2Shell empfiehlt AWS, mindestens bis zum 17. Oktober zurückzugehen.

Welche Rolle Dreams Technologie spielt

Auf seiner Unternehmenswebsite positioniert Dream Hero als autonomes System für Cybersicherheitsforschung, das Untersuchungen von Schwachstellen, die Rückentwicklung von Schadsoftware, forensische Analysen und validierte Fehlerbehebungen unterstützt. Die ergänzende Plattform Sphere konzentriert sich darauf, die Angriffsfläche zu erfassen und die Verteidigung in Behörden und Umgebungen kritischer Infrastrukturen zu priorisieren.

Technisch gesehen geht es darum, zwischen der Untersuchung einer bestimmten Schwachstelle und dem Verständnis ihrer Bedeutung innerhalb eines Betriebsnetzwerks zu unterscheiden. Eine Perimeter-Appliance, ihr Verwaltungsserver und ein Identitätsverzeichnis können unterschiedlichen Verantwortlichen unterstehen und verschiedenen Patch-Zyklen folgen – ein Angreifer kann sie dennoch zu einem einzigen Angriffspfad verbinden. Eine wirksame Eindämmung erfordert, diesen Pfad ebenso zu untersuchen wie die relevanten Updates einzuspielen.