Dream relata cadeia de ataque PHP2Shell que comprometeu 25 servidores

A Dream relatou uma cadeia de ataque PHP2Shell que, segundo a empresa, comprometeu 25 servidores, incluindo sistemas em um ambiente ligado ao governo dos EUA. Sua investigação de 26 de outubro descreve como uma interface exposta de gerenciamento de firewall se tornou uma via de acesso à infraestrutura interna de identidade.

O total informado compreende 24 firewalls de perímetro e um servidor interno de gerenciamento. A Dream não revelou o fornecedor afetado nem as versões do software e disse que notificou o fornecedor.

Como a cadeia de exploração atravessou duas barreiras de segurança

A cadeia combinou o PHP2Shell, rastreado como CVE-2026-109618 e CVE-2026-109619, com a vulnerabilidade de escalonamento de privilégios no Linux chamada Fragnesia, CVE-2026-46300.

Essas vulnerabilidades superam barreiras diferentes. A execução remota de código permite que um invasor execute código por meio de um serviço acessível. Em seguida, o escalonamento local de privilégios pode transformar um acesso restrito em controle sobre o sistema operacional. A combinação muda o cenário da resposta a incidentes: os investigadores precisam considerar o que o equipamento comprometido poderia acessar além da própria interface de gerenciamento.

A Red Hat descreve o Fragnesia como uma falha no subsistema XFRM ESP-in-TCP do kernel do Linux. O processamento criptográfico inseguro pode permitir que um invasor local com poucos privilégios altere o cache de páginas de arquivos somente leitura, sobrescreva binários privilegiados e obtenha privilégios de root. Trata-se, portanto, de um mecanismo distinto de escalonamento, e não do ponto de entrada inicial sem autenticação.

A Dream confirmou a extração de uma credencial de conta de serviço LDAP e a enumeração do diretório. Não foi possível determinar se houve sucesso na tentativa de pulverização de senhas, na criação de uma conta de backdoor ou na extração da chave de assinatura SAML. Essas limitações são importantes: o acesso confirmado às informações do diretório não comprova o comprometimento completo do Active Directory.

O que as evidências sobre IA permitem concluir

Os investigadores encontraram o Claude Code instalado e uma plataforma ofensiva configurada com DeepSeek e Kimi. A Dream afirmou não ter evidências diretas de que essas ferramentas tenham escrito a exploração ou os scripts de pós-exploração e não classificou a operação como totalmente autônoma. A possível ligação com a China é apenas uma hipótese; nenhum agente de ameaça foi identificado.

Para os defensores, essa distinção separa as ferramentas observáveis das conclusões sobre autoria, identidade dos operadores ou autonomia. A presença de um assistente de programação pode embasar uma hipótese sobre o fluxo de trabalho, mas, por si só, não permite determinar quais decisões foram tomadas por um modelo nem quem dirigiu a operação.

As correções do PHP e a janela de exploração anterior

O comunicado do projeto PHP de 21 de outubro identifica as versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 como as atualizações de segurança que corrigem as duas vulnerabilidades críticas de execução remota de código. Uma delas envolve o tratamento de falta de memória, que deixa dados internos da solicitação parcialmente não inicializados; a outra envolve a persistência de um estado interno obsoleto depois que a memória que o armazenava foi liberada.

O projeto alerta que instalações do PHP que atendem solicitações da Web estão em risco, sendo o risco avaliado como mais alto na configuração mod_php do Apache. Segundo o projeto, as mitigações parciais não oferecem proteção completa e os usuários devem atualizar o software. Em equipamentos fornecidos como soluções integradas, o caminho prático para corrigir o problema depende do firmware compatível com suporte do fornecedor e das correções retroportadas, não apenas do número da versão em execução.

A Unite.AI já havia abordado as correções do PHP e o papel da IA de fronteira na descoberta das falhas. Este novo relatório desloca o foco da descoberta para as consequências de uma implantação exposta.

Separadamente, a Amazon Threat Intelligence relatou tentativas de exploração do PHP2Shell em sua rede de honeypots MadPot a partir de 17 de outubro, antes da divulgação pública. Essa telemetria não comprova que a mesma pessoa ou grupo responsável pela campanha descrita pela Dream tenha conduzido essas tentativas.

A AWS recomenda medir em horas o prazo para mitigar vulnerabilidades críticas expostas à Internet, investigar a partir da data mais antiga conhecida de exploração, em vez da data de divulgação, e desenvolver detecções que não dependam exclusivamente de uma assinatura específica para cada CVE. No caso do PHP2Shell, recomenda investigar pelo menos desde 17 de outubro.

O papel da tecnologia da Dream

Em seu site da empresa, a Dream apresenta o Hero como um sistema autônomo de pesquisa em cibersegurança que dá suporte à investigação de vulnerabilidades, à engenharia reversa de malware, à análise forense e a correções validadas. Sua plataforma complementar, Sphere, concentra-se em mapear a exposição e priorizar a defesa em ambientes governamentais e de infraestrutura crítica.

A distinção técnica está entre investigar uma vulnerabilidade específica e entender onde ela é relevante em uma rede operacional. Um equipamento de perímetro, seu servidor de gerenciamento e um diretório de identidade podem ter responsáveis e ciclos de atualização diferentes, mas um invasor pode conectá-los em uma única rota. Para conter o ataque de forma eficaz, é necessário examinar essa rota e instalar as atualizações pertinentes.