Dream segnala una catena di attacco PHP2Shell che ha compromesso 25 server

Dream ha segnalato una catena di attacco PHP2Shell che, secondo quanto riferito, ha compromesso 25 server, compresi alcuni sistemi in un ambiente affiliato al governo degli Stati Uniti. La sua indagine del 26 ottobre descrive come un’interfaccia esposta per la gestione dei firewall sia diventata una via d’accesso all’infrastruttura interna delle identità.

Il totale dichiarato comprende 24 firewall perimetrali e un server di gestione interno. Dream non ha rivelato il fornitore interessato né le versioni del software e ha dichiarato di aver informato il fornitore.

Come la catena di exploit ha superato due confini di sicurezza

La catena ha combinato PHP2Shell, identificato dai codici CVE-2026-109618 e CVE-2026-109619, con la vulnerabilità di escalation dei privilegi di Linux Fragnesia, CVE-2026-46300.

Queste vulnerabilità superano barriere diverse. L’esecuzione di codice da remoto consente a un utente malintenzionato di eseguire codice tramite un servizio raggiungibile. L’escalation locale dei privilegi può poi trasformare un accesso iniziale limitato nel controllo del sistema operativo. La loro combinazione cambia il quadro della risposta all’incidente: gli investigatori devono valutare a quali risorse, oltre alla sua stessa interfaccia di gestione, poteva accedere l’appliance compromessa.

Red Hat descrive Fragnesia come una vulnerabilità nel sottosistema XFRM ESP-in-TCP del kernel Linux. Un’elaborazione crittografica non sicura può consentire a un utente malintenzionato locale con privilegi limitati di alterare la cache delle pagine di file in sola lettura, sovrascrivere file binari con privilegi elevati e ottenere i privilegi di root. Si tratta quindi di un meccanismo di escalation distinto, non del vettore iniziale di accesso senza autenticazione.

Dream ha confermato l’estrazione delle credenziali di un account di servizio LDAP e la ricognizione della directory. Non è riuscita a stabilire se siano andati a buon fine tentativi di password spraying, la creazione di un account backdoor o l’estrazione della chiave di firma SAML. Questi limiti sono importanti: l’accesso confermato alle informazioni della directory non dimostra che Active Directory sia stata completamente compromessa.

Cosa dimostrano le prove relative all’IA

Gli investigatori hanno trovato Claude Code installato e una piattaforma offensiva configurata con DeepSeek e Kimi. Dream ha dichiarato di non avere prove dirette che questi strumenti abbiano scritto l’exploit o gli script usati dopo la compromissione e non ha descritto l’operazione come completamente autonoma. L’ipotesi di un collegamento cinese è provvisoria; Dream non ha indicato alcun attore delle minacce.

Per chi si occupa di difesa, questa distinzione separa gli strumenti osservabili dalle conclusioni sulla paternità, sull’identità degli operatori o sul grado di autonomia. La presenza di un assistente di programmazione può avvalorare un’ipotesi sul flusso di lavoro, ma da sola non permette di stabilire quali decisioni abbia preso un modello né chi abbia diretto l’operazione.

Le correzioni di PHP e la finestra temporale dei primi attacchi

Nell’avviso del 21 ottobre, il progetto PHP indica PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 come versioni di sicurezza che correggono le due vulnerabilità critiche di esecuzione di codice da remoto. Una riguarda la gestione dell’esaurimento della memoria, che può lasciare parzialmente non inizializzati i dati interni delle richieste; l’altra riguarda uno stato interno obsoleto che persiste dopo che la memoria sottostante è stata liberata.

Il progetto avverte che le installazioni di PHP che gestiscono richieste web sono a rischio e valuta come più elevato il rischio per la configurazione mod_php di Apache. Afferma che le mitigazioni parziali non offrono una protezione completa e invita gli utenti ad aggiornare. Per le appliance distribuite come pacchetti, la soluzione pratica dipende dal firmware supportato dal fornitore e dalle correzioni retroportate, non soltanto dal numero di versione dell’ambiente di esecuzione.

In precedenza, Unite.AI aveva trattato le correzioni di PHP e il ruolo dell’IA di frontiera nella scoperta delle vulnerabilità. Questo nuovo rapporto sposta l’attenzione dalla scoperta alle conseguenze di una distribuzione esposta.

Separatamente, Amazon Threat Intelligence ha segnalato tentativi di sfruttamento di PHP2Shell nella propria rete di honeypot MadPot a partire dal 17 ottobre, prima della divulgazione pubblica. Questi dati di telemetria non dimostrano che la stessa persona o lo stesso gruppo abbia condotto la campagna descritta da Dream.

AWS raccomanda di misurare in ore i tempi di mitigazione delle vulnerabilità critiche che interessano sistemi esposti a Internet, di avviare le indagini dalla prima data nota di sfruttamento anziché dalla data di divulgazione e di sviluppare sistemi di rilevamento che non dipendano esclusivamente da una firma specifica per una CVE. Nel caso di PHP2Shell, raccomanda di estendere le verifiche almeno fino al 17 ottobre.

Il ruolo della tecnologia di Dream

Sul proprio sito web aziendale, Dream presenta Hero come un sistema autonomo di ricerca in ambito informatico, destinato a supportare l’analisi delle vulnerabilità, il reverse engineering del malware, l’analisi forense e la convalida delle correzioni. La piattaforma complementare Sphere si concentra sulla mappatura dell’esposizione e sulla definizione delle priorità di difesa in ambienti governativi e di infrastrutture critiche.

La distinzione tecnica riguarda la differenza tra indagare su una vulnerabilità specifica e capire dove questa sia rilevante all’interno di una rete operativa. Un’appliance perimetrale, il relativo server di gestione e una directory delle identità possono avere proprietari e cicli di aggiornamento diversi, ma un utente malintenzionato può collegarli in un unico percorso. Per contenere efficacemente la minaccia, occorre analizzare quel percorso e installare al tempo stesso gli aggiornamenti pertinenti.