Dream rapporterer om PHP2Shell-angrepskjede som kompromitterte 25 servere

Dream har rapportert om en PHP2Shell-angrepskjede som ifølge selskapet kompromitterte 25 servere, deriblant systemer i et miljø med tilknytning til amerikanske myndigheter. Etterforskningen 26. oktober beskriver hvordan et eksponert administrasjonsgrensesnitt for brannmurer ble en vei inn til intern identitetsinfrastruktur.

Det rapporterte totalantallet omfatter 24 perimeterbrannmurer og én intern administrasjonsserver. Dream holdt tilbake opplysninger om hvilken leverandør og hvilke programvareversjoner som var berørt, og opplyste at selskapet varslet leverandøren.

Slik krysset angrepskjeden to sikkerhetsbarrierer

Angrepskjeden kombinerte PHP2Shell, registrert som CVE-2026-109618 og CVE-2026-109619, med Fragnesia, en sårbarhet for rettighetseskalering i Linux, CVE-2026-46300.

Disse sårbarhetene overvinner ulike barrierer. Fjernkjøring av kode gir en angriper mulighet til å kjøre kode via en tilgjengelig tjeneste. Lokal rettighetseskalering kan deretter gjøre et begrenset fotfeste om til kontroll over operativsystemet. Når sårbarhetene kombineres, endres utfordringen for hendelseshåndteringen: Etterforskerne må vurdere hva den kompromitterte enheten kunne få tilgang til utover sitt eget administrasjonsgrensesnitt.

Red Hat beskriver Fragnesia som en feil i XFRM ESP-in-TCP-delsystemet i Linux-kjernen. Uforsvarlig kryptografisk behandling kan gjøre det mulig for en lokal angriper med begrensede rettigheter å endre sidebufferen for skrivebeskyttede filer, overskrive binærfiler med privilegerte rettigheter og oppnå root-rettigheter. Dette er derfor en egen mekanisme for rettighetseskalering, ikke det første uautentiserte inngangspunktet.

Dream bekreftet at en legitimasjon for en LDAP-tjenestekonto var hentet ut, og at katalogen var blitt kartlagt. Selskapet kunne ikke fastslå om passordspraying, forsøk på å opprette en bakdørskonto eller uthenting av SAML-signeringsnøkkelen var vellykket. Disse begrensningene er viktige: Bekreftet tilgang til kataloginformasjon innebærer ikke at Active Directory er fullstendig overtatt.

Hva KI-bevisene underbygger

Etterforskerne fant Claude Code installert og en offensiv plattform konfigurert med DeepSeek og Kimi. Dream sa at selskapet ikke hadde direkte bevis for at disse verktøyene hadde skrevet utnyttelseskoden eller skriptene for aktivitet etter kompromitteringen, og beskrev ikke operasjonen som fullstendig autonom. Antydningen om en kinesisk tilknytning er usikker; selskapet navnga ingen trusselaktør.

For forsvarere skiller dette observerbare verktøy fra konklusjoner om hvem som står bak, hvem som opererte verktøyene, eller hvor autonome de var. Tilstedeværelsen av en kodeassistent kan støtte en hypotese om arbeidsmåten, men kan ikke i seg selv fastslå hvilke beslutninger en modell tok, eller hvem som styrte operasjonen.

PHP-rettelsene og det tidligere tidsrommet for utnyttelse

PHP-prosjektets sikkerhetsvarsel 21. oktober angir PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 som sikkerhetsutgavene som retter de to kritiske sårbarhetene for fjernkjøring av kode. Den ene gjelder håndtering av minnemangel som fører til at interne forespørselsdata bare blir delvis initialisert; den andre skyldes at foreldet intern tilstand blir liggende etter at minnet den bygger på, er frigitt.

Prosjektet advarer om at PHP-installasjoner som håndterer nettforspørsler, er utsatt, og vurderer risikoen som høyest for Apache-konfigurasjonen mod_php. Det opplyser at delvise tiltak ikke gir full beskyttelse, og ber brukerne oppdatere. For ferdigpakkede apparater avhenger den praktiske utbedringen av hvilken fastvare og hvilke tilbakeporterte rettelser leverandøren støtter, ikke bare av versjonsstrengen for kjøremiljøet.

Unite.AI har tidligere omtalt PHP-rettelsene og rollen avansert KI spilte i å avdekke sårbarhetene. Denne nye rapporten retter oppmerksomheten mot konsekvensene av en eksponert utrulling, snarere enn selve oppdagelsen.

Separat rapporterte Amazon Threat Intelligence om forsøk på å utnytte PHP2Shell i honeypot-nettverket MadPot fra og med 17. oktober, før sårbarheten ble offentliggjort. Disse telemetridataene fastslår ikke at den samme operatøren sto bak kampanjen Dream beskriver.

AWS anbefaler å måle hvor lang tid det tar å iverksette tiltak mot kritiske sårbarheter i internettilgjengelige systemer, i timer, å etterforske med utgangspunkt i det tidligste kjente utnyttelsestidspunktet snarere enn offentliggjøringsdatoen, og å utvikle deteksjoner som ikke utelukkende er avhengige av en CVE-spesifikk signatur. For PHP2Shell anbefaler AWS å undersøke minst tilbake til 17. oktober.

Slik passer Dreams teknologi inn

På nettstedet sitt presenterer Dream Hero som et autonomt cyberforskningssystem for sårbarhetsundersøkelser, omvendt utvikling av skadevare, rettsmedisinsk analyse og validerte rettelser. Den komplementære plattformen Sphere fokuserer på å kartlegge eksponering og prioritere forsvar i myndighetsmiljøer og kritisk infrastruktur.

Den tekniske forskjellen ligger mellom å undersøke en bestemt svakhet og å forstå hvor viktig den er i et operativt nettverk. En perimeterenhet, administrasjonsserveren dens og en identitetskatalog kan ha ulike eiere og oppdateringssykluser, men en angriper kan knytte dem sammen til én angrepsvei. Effektiv begrensning av skadeomfanget krever at denne veien undersøkes samtidig som de relevante oppdateringene installeres.