Dream сообщает о цепочке атак PHP2Shell, в результате которой были скомпрометированы 25 серверов

Dream сообщила о цепочке атак PHP2Shell, которая, по ее данным, привела к компрометации 25 серверов, в том числе систем в среде, связанной с правительством США. В расследовании от 26 октября описано, как открытый интерфейс управления межсетевым экраном стал путем проникновения во внутреннюю инфраструктуру идентификации.

Всего, по сообщению компании, были скомпрометированы 24 периметровых межсетевых экрана и один внутренний сервер управления. Dream не раскрыла производителя и версии затронутого ПО и заявила, что уведомила его производителя.

Как цепочка эксплойтов преодолела два рубежа защиты

В цепочке использовались PHP2Shell, отслеживаемая как CVE-2026-109618 и CVE-2026-109619, и уязвимость повышения привилегий в Linux Fragnesia (CVE-2026-46300).

Эти уязвимости позволяют преодолеть разные барьеры. Удаленное выполнение кода дает злоумышленнику возможность запускать код через доступную извне службу. Затем локальное повышение привилегий может превратить ограниченный плацдарм в контроль над операционной системой. Их сочетание меняет задачу реагирования на инцидент: следователям необходимо учитывать, к чему скомпрометированное устройство могло получить доступ за пределами собственного интерфейса управления.

Red Hat описывает Fragnesia как уязвимость подсистемы XFRM ESP-in-TCP ядра Linux. Небезопасная обработка криптографических данных позволяет локальному злоумышленнику с низкими привилегиями изменять кэш страниц файлов, доступных только для чтения, перезаписывать привилегированные исполняемые файлы и получать права root. Таким образом, это отдельный механизм повышения привилегий, а не первоначальный способ проникновения без аутентификации.

Dream подтвердила извлечение учетных данных сервисной учетной записи LDAP и перечисление объектов каталога. Компании не удалось установить, были ли успешны подбор паролей методом password spraying, попытка создать учетную запись для скрытого доступа или извлечение ключа подписи SAML. Эти ограничения важны: подтвержденный доступ к данным каталога не доказывает полного захвата Active Directory.

Что подтверждают данные об ИИ

Следователи обнаружили установленный Claude Code и платформу для проведения атак, настроенную с DeepSeek и Kimi. Dream заявила, что у нее нет прямых доказательств того, что эти инструменты написали эксплойт или скрипты для действий после проникновения, и не стала характеризовать операцию как полностью автономную. Предположение о связи с Китаем остается предварительным; конкретного субъекта угрозы компания не назвала.

Для специалистов по защите это различие отделяет наблюдаемые инструменты от выводов об авторстве, личности операторов или автономности операции. Наличие помощника для написания кода может служить основанием для гипотезы о рабочем процессе, но само по себе не позволяет установить, какие решения приняла модель и кто руководил операцией.

Исправления PHP и период эксплуатации до раскрытия уязвимостей

В рекомендациях проекта PHP от 21 октября указаны версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — выпуски с исправлениями двух критических уязвимостей удаленного выполнения кода. В одном случае обработка нехватки памяти приводит к частичной неинициализации внутренних данных запроса; в другом устаревшее внутреннее состояние сохраняется после освобождения занятой им памяти.

Проект предупреждает, что риску подвержены установки PHP, обслуживающие веб-запросы; наивысший уровень риска выявлен для конфигурации Apache mod_php. По заявлению проекта, частичные меры защиты не обеспечивают полной безопасности, поэтому пользователям следует установить обновления. Для устройств с предустановленным ПО способ устранения уязвимости на практике зависит от поддерживаемой производителем прошивки и включенных в нее исправлений, а не только от строки с номером версии среды выполнения.

Ранее Unite.AI рассказывал о исправлениях PHP и роли передовых моделей ИИ в обнаружении уязвимостей. Новый отчет переносит внимание с их обнаружения на последствия развертывания уязвимых систем с открытым доступом.

Отдельно Amazon Threat Intelligence сообщила о попытках эксплуатации PHP2Shell в своей сети ловушек MadPot начиная с 17 октября — до публичного раскрытия информации. Эти данные телеметрии не доказывают, что кампанию, описанную Dream, проводил тот же оператор.

AWS рекомендует измерять сроки устранения критических уязвимостей в доступных из интернета системах в часах, начинать расследование с самой ранней известной попытки эксплуатации, а не с даты раскрытия информации, и разрабатывать средства обнаружения, которые не зависят исключительно от сигнатуры для конкретной CVE. В случае PHP2Shell AWS рекомендует проверять события как минимум с 17 октября.

Какую роль играет технология Dream

На сайте компании Dream представляет Hero как автономную систему киберисследований для анализа уязвимостей, обратной разработки вредоносных программ, криминалистического анализа и проверки исправлений. Дополняющая ее платформа Sphere предназначена для картирования уязвимых мест и расстановки приоритетов защиты в государственных учреждениях и объектах критической инфраструктуры.

Технически важно различать расследование конкретной уязвимости и понимание того, где она представляет опасность в рабочей сети. У периметрового устройства, его сервера управления и каталога идентификации могут быть разные владельцы и циклы установки исправлений, однако злоумышленник способен объединить их в единую цепочку. Для эффективного сдерживания атаки необходимо изучить эту цепочку и одновременно установить соответствующие обновления.