Dream meldt aanvalsketen met PHP2Shell die 25 servers heeft gecompromitteerd

Dream heeft melding gemaakt van een aanvalsketen met PHP2Shell die volgens het bedrijf 25 servers heeft gecompromitteerd, waaronder systemen in een omgeving die banden heeft met de Amerikaanse overheid. In het onderzoek van 26 oktober beschrijft Dream hoe een blootgestelde beheerinterface van een firewall een toegangspoort werd tot de interne identiteitsinfrastructuur.

Het gemelde totaal bestaat uit 24 perimeterfirewalls en één interne beheerserver. Dream heeft de getroffen leverancier en softwareversies niet bekendgemaakt en zei de leverancier op de hoogte te hebben gesteld.

Hoe de aanvalsketen twee beveiligingsgrenzen overschreed

De aanvalsketen combineerde PHP2Shell, geregistreerd als CVE-2026-109618 en CVE-2026-109619, met de Linux-kwetsbaarheid Fragnesia voor privilege-escalatie, CVE-2026-46300.

Deze kwetsbaarheden nemen verschillende barrières weg. Met uitvoering van code op afstand kan een aanvaller code uitvoeren via een bereikbare dienst. Lokale privilege-escalatie kan vervolgens een beperkte toegang omzetten in controle over het besturingssysteem. Door deze kwetsbaarheden te combineren, verandert de aanpak van het incident: onderzoekers moeten nagaan waartoe het gecompromitteerde apparaat toegang had buiten de eigen beheerinterface.

Red Hat beschrijft Fragnesia als een kwetsbaarheid in het XFRM ESP-in-TCP-subsysteem van de Linux-kernel. Onveilige cryptografische verwerking kan een lokale aanvaller met beperkte rechten in staat stellen de paginacache van alleen-lezenbestanden te wijzigen, bestanden met verhoogde rechten te overschrijven en rootrechten te verkrijgen. Het is dus een afzonderlijk mechanisme voor privilege-escalatie, en niet het eerste toegangspunt waarvoor geen authenticatie nodig is.

Dream bevestigde dat inloggegevens van een LDAP-serviceaccount waren buitgemaakt en dat directory’s waren verkend. Het bedrijf kon niet vaststellen of pogingen tot wachtwoordspray, het aanmaken van een backdooraccount of het buitmaken van een SAML-ondertekeningssleutel waren geslaagd. Die beperkingen zijn van belang: bevestigde toegang tot directorygegevens bewijst niet dat Active Directory volledig is overgenomen.

Wat het AI-bewijs aantoont

Onderzoekers troffen Claude Code aan, evenals een offensief platform dat was geconfigureerd met DeepSeek en Kimi. Dream zei geen direct bewijs te hebben dat deze tools de exploit of scripts voor activiteiten na de exploitatie hadden geschreven, en omschreef de operatie niet als volledig autonoom. De door Dream geopperde mogelijke link met China is onzeker; het bedrijf noemde geen enkele dreigingsactor.

Voor verdedigers maakt dit onderscheid duidelijk wat waarneembare hulpmiddelen zijn en wat conclusies over auteurschap, de identiteit van de uitvoerders of autonomie. De aanwezigheid van een programmeerassistent kan een hypothese over de werkwijze ondersteunen, maar bewijst op zichzelf niet welke beslissingen een model heeft genomen of wie de operatie aanstuurde.

De PHP-updates en de eerdere periode van misbruik

In het beveiligingsadvies van het PHP-project van 21 oktober worden PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 genoemd als de beveiligingsreleases die de twee kritieke kwetsbaarheden voor uitvoering van code op afstand verhelpen. Bij de ene kwetsbaarheid zorgt de afhandeling van een geheugentekort ervoor dat interne verzoekgegevens gedeeltelijk niet zijn geïnitialiseerd; bij de andere blijft verouderde interne status behouden nadat het bijbehorende geheugen is vrijgegeven.

Het project waarschuwt dat PHP-installaties die webverzoeken verwerken risico lopen; het risico wordt het hoogst ingeschat voor de mod_php-configuratie van Apache. Volgens het project bieden gedeeltelijke risicobeperkende maatregelen geen volledige bescherming en moeten gebruikers de software bijwerken. Bij kant-en-klare apparaten hangt de praktische manier om het probleem te verhelpen af van de firmware die de leverancier ondersteunt en de daarin opgenomen backports, en niet alleen van de versietekst van de runtime.

Unite.AI berichtte eerder over de PHP-patches en de rol van geavanceerde AI bij het ontdekken van de kwetsbaarheden. Dit nieuwe rapport verlegt de aandacht van de ontdekking naar de gevolgen van een blootgestelde implementatie.

Los daarvan meldde Amazon Threat Intelligence pogingen om PHP2Shell uit te buiten in zijn MadPot-honeypotnetwerk, vanaf 17 oktober en dus vóór de openbare bekendmaking. Uit deze telemetrie blijkt niet dat dezelfde uitvoerder de campagne heeft uitgevoerd die Dream beschrijft.

AWS adviseert organisaties om de doorlooptijd voor het beperken van kritieke kwetsbaarheden in systemen die rechtstreeks met internet zijn verbonden in uren te meten, onderzoek te doen vanaf het vroegst bekende moment van misbruik in plaats van vanaf de bekendmakingsdatum, en detectiemethoden te ontwikkelen die niet uitsluitend afhankelijk zijn van een specifieke CVE-signatuur. Voor PHP2Shell adviseert AWS om de periode vanaf ten minste 17 oktober te onderzoeken.

De plaats van de technologie van Dream

Op de bedrijfswebsite presenteert Dream Hero als een autonoom systeem voor cyberonderzoek dat ondersteuning biedt bij kwetsbaarheidsonderzoek, reverse-engineering van malware, forensische analyse en gevalideerde oplossingen. Het aanvullende platform Sphere richt zich op het in kaart brengen van blootstelling en het prioriteren van verdediging binnen overheidsomgevingen en omgevingen met kritieke infrastructuur.

Het technische onderscheid zit tussen het onderzoeken van een specifieke kwetsbaarheid en begrijpen waar die binnen een operationeel netwerk van belang is. Een perimeterapparaat, de bijbehorende beheerserver en een directory met identiteitsgegevens kunnen verschillende eigenaren en patchcycli hebben, maar een aanvaller kan ze met elkaar verbinden tot één aanvalspad. Voor effectieve indamming moet dat pad worden onderzocht en moeten de relevante updates worden geïnstalleerd.