Dream informuje o łańcuchu ataku PHP2Shell, który doprowadził do przejęcia 25 serwerów

Dream poinformował o łańcuchu ataku PHP2Shell, który — jak twierdzi — doprowadził do przejęcia 25 serwerów, w tym systemów w środowisku powiązanym z rządem USA. W dochodzeniu z 26 października opisano, jak dostępny z zewnątrz interfejs zarządzania zaporą sieciową stał się drogą do wewnętrznej infrastruktury tożsamości.

Zgłoszona liczba obejmuje 24 zapory sieciowe na brzegu sieci oraz jeden wewnętrzny serwer zarządzający. Dream nie ujawnił nazwy dostawcy ani wersji oprogramowania, których dotyczył incydent, i poinformował, że powiadomił dostawcę.

Jak łańcuch wykorzystania luk przekroczył dwie granice bezpieczeństwa

W łańcuchu połączono PHP2Shell, śledzone pod identyfikatorami CVE-2026-109618 i CVE-2026-109619, z luką eskalacji uprawnień w systemie Linux, Fragnesia (CVE-2026-46300).

Luki te pozwalają pokonać różne bariery. Zdalne wykonanie kodu umożliwia atakującemu uruchamianie kodu za pośrednictwem dostępnej usługi. Następnie lokalna eskalacja uprawnień może zmienić ograniczony punkt dostępu w możliwość przejęcia kontroli nad systemem operacyjnym. Połączenie tych luk zmienia sposób reagowania na incydent: śledczy muszą uwzględnić, do jakich zasobów poza własnym interfejsem zarządzania mogło uzyskać dostęp przejęte urządzenie.

Red Hat opisuje Fragnesia jako lukę w podsystemie XFRM ESP-in-TCP jądra systemu Linux. Niebezpieczne przetwarzanie kryptograficzne może umożliwić lokalnemu atakującemu o niskich uprawnieniach modyfikowanie pamięci podręcznej stron plików tylko do odczytu, nadpisywanie plików binarnych o podwyższonych uprawnieniach i uzyskanie uprawnień roota. Jest to zatem odrębny mechanizm eskalacji uprawnień, a nie początkowy punkt wejścia niewymagający uwierzytelnienia.

Dream potwierdził pozyskanie danych uwierzytelniających konta usługi LDAP oraz enumerację katalogu. Nie udało się ustalić, czy powodzeniem zakończyły się próby rozpylania haseł, tworzenia kont zapasowych ani pozyskania klucza podpisującego SAML. Te ograniczenia są istotne: potwierdzony dostęp do informacji katalogowych nie dowodzi całkowitego przejęcia Active Directory.

Co wynika z dowodów dotyczących AI

Śledczy znaleźli zainstalowane Claude Code oraz platformę ofensywną skonfigurowaną z DeepSeek i Kimi. Dream oświadczył, że nie ma bezpośrednich dowodów na to, iż narzędzia te stworzyły exploit lub skrypty wykorzystywane po uzyskaniu dostępu, i nie określił operacji jako w pełni autonomicznej. Sugerowany związek z Chinami jest niepewny; nie wskazano żadnego podmiotu zagrażającego.

Dla obrońców to rozróżnienie oddziela obserwowalne narzędzia od wniosków na temat autorstwa, tożsamości operatora czy autonomii. Obecność asystenta programistycznego może uzasadniać hipotezę dotyczącą przebiegu pracy, ale sama w sobie nie pozwala ustalić, jakie decyzje podjął model ani kto kierował operacją.

Poprawki PHP i wcześniejszy okres wykorzystywania luk

W komunikacie projektu PHP z 21 października wskazano PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 jako wydania zawierające poprawki dwóch krytycznych luk umożliwiających zdalne wykonanie kodu. Jedna z nich dotyczy obsługi błędu braku pamięci, przez który wewnętrzne dane żądania pozostają częściowo niezainicjowane; druga — nieaktualnego stanu wewnętrznego, który utrzymuje się po zwolnieniu pamięci, na której się opiera.

Projekt ostrzega, że zagrożone są instalacje PHP obsługujące żądania internetowe, a najwyższe oszacowane ryzyko dotyczy konfiguracji Apache z mod_php. Zaznacza, że częściowe środki zaradcze nie zapewniają pełnej ochrony, i zaleca użytkownikom aktualizację. W przypadku gotowych urządzeń sposób usunięcia problemu zależy od oprogramowania układowego obsługiwanego przez dostawcę oraz przeniesionych do niego poprawek, a nie wyłącznie od wersji podanej w środowisku uruchomieniowym.

Unite.AI opisywało wcześniej poprawki PHP i rolę zaawansowanej sztucznej inteligencji w wykrywaniu tych luk. Nowy raport przenosi uwagę z ich wykrycia na konsekwencje wdrożenia narażonego na atak.

Osobno Amazon Threat Intelligence poinformował o próbach wykorzystania PHP2Shell w swojej sieci honeypotów MadPot, które rozpoczęły się 17 października, przed publicznym ujawnieniem informacji. Dane telemetryczne nie dowodzą, że kampanię opisaną przez Dream przeprowadził ten sam operator.

AWS zaleca mierzenie w godzinach czasu potrzebnego na ograniczenie skutków krytycznych luk w systemach dostępnych z internetu, prowadzenie dochodzeń z uwzględnieniem najwcześniejszego znanego wykorzystania luk, a nie daty ich ujawnienia, oraz opracowywanie mechanizmów wykrywania, które nie opierają się wyłącznie na sygnaturze przypisanej do konkretnego CVE. W przypadku PHP2Shell zaleca sprawdzanie zdarzeń co najmniej od 17 października.

Jaką rolę odgrywa technologia Dream

Na stronie internetowej firmy Dream przedstawia Hero jako autonomiczny system badań nad cyberbezpieczeństwem, wspierający analizę luk, inżynierię wsteczną złośliwego oprogramowania, analizę kryminalistyczną i weryfikację poprawek. Uzupełniająca go platforma Sphere koncentruje się na mapowaniu ekspozycji na zagrożenia i ustalaniu priorytetów obrony w środowiskach rządowych oraz infrastrukturze krytycznej.

Różnica techniczna polega na tym, czy analizuje się konkretną lukę, czy ustala, jakie ma znaczenie w całej sieci operacyjnej. Urządzenie brzegowe, jego serwer zarządzający i katalog tożsamości mogą mieć różnych właścicieli i różne harmonogramy instalowania poprawek, a mimo to atakujący może połączyć je w jedną ścieżkę. Skuteczne powstrzymanie ataku wymaga zbadania tej ścieżki równolegle z instalowaniem odpowiednich aktualizacji.