Dream raportoi PHP2Shell-hyökkäysketjusta, joka vaaransi 25 palvelinta

Dream on raportoinut PHP2Shell-hyökkäysketjusta, jonka se kertoo vaarantaneen 25 palvelinta, mukaan lukien järjestelmiä Yhdysvaltain hallintoon liittyvässä ympäristössä. Sen 26. lokakuuta julkaistussa tutkinnassa kuvataan, kuinka avoin palomuurien hallintaliittymä muodosti väylän sisäiseen identiteetti-infrastruktuuriin.

Raportoituun kokonaismäärään kuuluu 24 reunapalomuuria ja yksi sisäinen hallintapalvelin. Dream ei kertonut, kuka laitteet oli valmistanut tai mitä ohjelmistoversioita niissä käytettiin, ja sanoi ilmoittaneensa asiasta valmistajalle.

Näin hyväksikäyttöketju ylitti kaksi tietoturvarajaa

Hyökkäysketjussa yhdistettiin PHP2Shell, jonka tunnisteet ovat CVE-2026-109618 ja CVE-2026-109619, Linuxin Fragnesia-korotusoikeushaavoittuvuuteen CVE-2026-46300.

Nämä haavoittuvuudet liittyvät eri esteisiin. Etäkoodin suoritus antaa hyökkääjälle mahdollisuuden ajaa koodia saavutettavissa olevan palvelun kautta. Paikallinen oikeuksien korottaminen voi tämän jälkeen muuttaa rajoitetun jalansijan käyttöjärjestelmän hallinnaksi. Niiden yhdistäminen muuttaa myös poikkeaman selvittämistä: tutkijoiden on arvioitava, mihin kaikkeen vaarantunut laite saattoi päästä käsiksi oman hallintaliittymänsä ulkopuolella.

Red Hatin mukaan Fragnesia on Linux-ytimen XFRM ESP-in-TCP -alijärjestelmän haavoittuvuus. Turvaton kryptografinen käsittely voi antaa paikalliselle, vähäisin oikeuksin toimivalle hyökkääjälle mahdollisuuden muokata vain luku -tiedostojen sivuvälimuistia, korvata etuoikeutettuja binääritiedostoja ja saada pääkäyttäjän oikeudet. Kyseessä on siis erillinen oikeuksienkorotusmekanismi, ei alkuperäinen, todennusta edellyttämätön sisäänpääsyväylä.

Dream vahvisti LDAP-palvelutilin tunnistetiedon haltuunoton ja hakemiston sisällön kartoittamisen. Se ei pystynyt selvittämään, onnistuivatko salasanaruiskutus, takaovikäyttäjätilin luomisen yritys tai SAML-allekirjoitusavaimen hankkiminen. Tällä rajauksella on merkitystä: vahvistettu pääsy hakemistotietoihin ei osoita, että Active Directory olisi kaapattu kokonaan.

Mitä tekoälyä koskeva näyttö osoittaa

Tutkijat löysivät asennettuna Claude Coden sekä hyökkäystyökalualustan, joka oli määritetty käyttämään DeepSeekia ja Kimiä. Dreamin mukaan sillä ei ollut suoraa näyttöä siitä, että nämä työkalut olisivat kirjoittaneet hyväksikäyttökoodin tai hyökkäyksen jälkeiset skriptit, eikä se luonnehtinut operaatiota täysin autonomiseksi. Sen esittämä mahdollinen yhteys Kiinaan on alustava, eikä se nimennyt yhtään uhkatoimijaa.

Puolustajien kannalta tämä ero erottaa havaittavissa olevat työkalut päätelmistä, jotka koskevat tekijyyttä, operaattorin henkilöllisyyttä tai toiminnan autonomiaa. Koodausavustajan läsnäolo voi tukea oletusta käytetystä työnkulusta, mutta se ei yksin osoita, mitä päätöksiä malli teki tai kuka ohjasi operaatiota.

PHP-korjaukset ja niitä edeltänyt hyväksikäyttöjakso

PHP-projektin 21. lokakuuta julkaistussa tietoturvatiedotteessa mainitaan PHP-versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 tietoturvajulkaisuina, jotka korjaavat kaksi kriittistä etäkoodin suorittamisen haavoittuvuutta. Toinen liittyy muistin loppumisen käsittelyyn, joka jättää sisäiset pyyntötiedot osittain alustamatta; toisessa vapautetun muistin taustalla ollut sisäinen tila jää virheellisesti voimaan.

Projekti varoittaa, että verkkopyyntöjä palvelevat PHP-asennukset ovat vaarassa, ja arvioi riskin suurimmaksi Apache-palvelimen mod_php-kokoonpanossa. Sen mukaan osittaiset lievennystoimet eivät takaa täyttä suojaa, ja käyttäjiä kehotetaan päivittämään ohjelmisto. Valmiiksi paketoiduissa laitteissa käytännössä sopiva korjaustapa riippuu valmistajan tukemasta laiteohjelmistosta ja siihen siirretyistä korjauksista, ei pelkästään suoritusympäristön versionumerosta.

Unite.AI käsitteli aiemmin PHP-korjauksia ja huipputason tekoälyn roolia haavoittuvuuksien löytämisessä. Tässä uudessa raportissa huomio siirtyy löytämisestä avoimen käyttöönoton seurauksiin.

Amazon Threat Intelligence raportoi erikseen PHP2Shellin hyväksikäyttöyrityksistä MadPot-honeypot-verkossaan 17. lokakuuta alkaen, ennen haavoittuvuuden julkistamista. Telemetria ei kuitenkaan osoita, että sama operaattori olisi toteuttanut Dreamin kuvaaman kampanjan.

AWS suosittelee mittaamaan internetiin näkyvien kriittisten haavoittuvuuksien lieventämiseen kuluvan ajan tunneissa, aloittamaan tutkinnan varhaisimmasta tunnetusta hyväksikäyttöajankohdasta julkistuspäivän sijaan sekä kehittämään tunnistustapoja, jotka eivät perustu yksinomaan tiettyyn CVE-tunnisteeseen. PHP2Shellin osalta se suosittelee ulottamaan tarkastelun vähintään 17. lokakuuta asti.

Dreamin teknologian käyttötarkoitus

Dream esittelee yrityksen verkkosivustolla Heron autonomisena kyberturvallisuuden tutkimusjärjestelmänä, joka tukee haavoittuvuuksien tutkimista, haittaohjelmien käänteistä analysointia, rikosteknistä analyysiä ja varmennettujen korjausten kehittämistä. Sen rinnakkainen Sphere-alusta keskittyy altistumisen kartoittamiseen ja puolustustoimien priorisointiin hallinnon ja kriittisen infrastruktuurin ympäristöissä.

Teknisesti on eri asia tutkia yksittäistä heikkoutta kuin ymmärtää, missä se on merkityksellinen operatiivisessa verkossa. Reunalaitteella, sen hallintapalvelimella ja identiteettihakemistolla voi olla eri omistajat ja päivitysaikataulut, mutta hyökkääjä voi yhdistää ne yhdeksi reitiksi. Tehokas rajaaminen edellyttää tämän reitin tarkastelua asiaankuuluvien päivitysten asentamisen ohella.