Dream raportează un lanț de atac PHP2Shell care a compromis 25 de servere

Dream a raportat un lanț de atac PHP2Shell care, potrivit companiei, a compromis 25 de servere, inclusiv sisteme dintr-un mediu afiliat guvernului SUA. Investigația din 26 octombrie descrie cum o interfață expusă de administrare a firewallului a devenit o cale de acces către infrastructura internă de identitate.

Totalul raportat cuprinde 24 de firewalluri de perimetru și un server intern de administrare. Dream nu a dezvăluit furnizorul și versiunile software afectate și a declarat că a notificat furnizorul.

Cum a trecut lanțul de exploatare peste două bariere de securitate

Lanțul a asociat PHP2Shell, identificat prin CVE-2026-109618 și CVE-2026-109619, cu vulnerabilitatea de escaladare a privilegiilor în Linux numită Fragnesia, CVE-2026-46300.

Aceste vulnerabilități vizează bariere diferite. Executarea de cod la distanță îi oferă unui atacator o modalitate de a rula cod prin intermediul unui serviciu accesibil. Escaladarea locală a privilegiilor poate transforma apoi un punct de sprijin cu acces restricționat în control asupra sistemului de operare. Combinarea lor schimbă modul în care trebuie gestionat răspunsul la incident: anchetatorii trebuie să ia în calcul ce putea accesa dispozitivul compromis dincolo de propria interfață de administrare.

Red Hat descrie Fragnesia drept o vulnerabilitate în subsistemul XFRM ESP-in-TCP al nucleului Linux. Procesarea nesigură a datelor criptografice îi poate permite unui atacator local cu privilegii reduse să modifice memoria cache de pagini a fișierelor protejate la scriere, să suprascrie binare cu privilegii ridicate și să obțină privilegii de root. Prin urmare, este un mecanism distinct de escaladare, nu punctul inițial de acces fără autentificare.

Dream a confirmat extragerea unei acreditări pentru un cont de serviciu LDAP și enumerarea directoarelor. Nu a putut stabili dacă au avut succes încercările de ghicire a parolelor prin password spraying, tentativele de creare a unui cont de acces clandestin sau extragerea cheii de semnare SAML. Aceste limite sunt importante: accesul confirmat la informațiile din director nu dovedește preluarea completă a controlului asupra Active Directory.

Ce demonstrează dovezile privind IA

Anchetatorii au găsit instalat Claude Code și o platformă ofensivă configurată cu DeepSeek și Kimi. Dream a declarat că nu avea dovezi directe că aceste instrumente au scris codul de exploatare sau scripturile folosite după exploatare și nu a caracterizat operațiunea drept complet autonomă. Ipoteza unei legături cu China este preliminară; Dream nu a numit niciun actor de amenințare.

Pentru cei responsabili de apărare, această distincție separă instrumentele observabile de concluziile privind autorii, identitatea operatorului sau autonomia. Prezența unui asistent de programare poate susține o ipoteză despre fluxul de lucru, dar nu poate stabili de una singură ce decizii a luat un model sau cine a coordonat operațiunea.

Remedierile PHP și intervalul anterior exploatării

Avizul proiectului PHP din 21 octombrie identifică versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35 drept versiunile de securitate care remediază cele două vulnerabilități critice de executare a codului la distanță. Una are legătură cu gestionarea situațiilor de memorie insuficientă, care lasă datele interne ale cererii inițializate doar parțial; cealaltă, cu păstrarea unei stări interne învechite după eliberarea memoriei pe care se baza.

Proiectul avertizează că instalările PHP care gestionează cereri web sunt expuse riscului, iar riscul evaluat este cel mai ridicat în cazul configurației mod_php a Apache. Proiectul precizează că măsurile de atenuare parțiale nu asigură protecție completă și le recomandă utilizatorilor să actualizeze. În cazul dispozitivelor cu software preinstalat, calea practică de remediere depinde de firmware-ul acceptat de furnizor și de remedierile integrate ulterior, nu doar de șirul versiunii mediului de execuție.

Unite.AI a relatat anterior despre remedierile PHP și rolul IA de frontieră în descoperirea vulnerabilităților. Acest nou raport mută atenția de la descoperire la consecințele unei implementări expuse.

Separat, Amazon Threat Intelligence a raportat tentative de exploatare PHP2Shell în rețeaua sa de capcane informatice MadPot, începând cu 17 octombrie, înainte de dezvăluirea publică. Aceste date de telemetrie nu demonstrează că aceeași entitate a desfășurat campania descrisă de Dream.

AWS recomandă măsurarea, în ore, a timpului necesar pentru atenuarea vulnerabilităților critice din sistemele expuse la internet, începerea investigației de la cea mai timpurie exploatare cunoscută, nu de la data dezvăluirii, și dezvoltarea unor metode de detectare care să nu se bazeze exclusiv pe o semnătură specifică unui CVE. În cazul PHP2Shell, AWS recomandă verificarea activității începând cel puțin cu 17 octombrie.

Locul tehnologiei Dream

Pe site-ul companiei, Dream prezintă Hero drept un sistem autonom de cercetare în domeniul securității cibernetice, destinat investigării vulnerabilităților, analizei malware-ului prin inginerie inversă, analizei criminalistice digitale și remedierilor validate. Platforma complementară Sphere se concentrează pe cartografierea expunerii și prioritizarea apărării în mediile guvernamentale și de infrastructură critică.

Distincția tehnică ține de diferența dintre investigarea unei vulnerabilități specifice și înțelegerea relevanței acesteia într-o rețea operațională. Un dispozitiv de perimetru, serverul său de administrare și un director de identitate pot avea proprietari și cicluri de actualizare diferite, însă un atacator le poate lega într-un singur traseu. Pentru o izolare eficientă, traseul trebuie analizat concomitent cu instalarea actualizărilor relevante.