Dream rapporterar attackkedja med PHP2Shell som komprometterade 25 servrar

Dream har rapporterat om en attackkedja med PHP2Shell som enligt företaget komprometterade 25 servrar, däribland system i en miljö med koppling till amerikanska myndigheter. I sin utredning den 26 oktober beskriver Dream hur ett exponerat hanteringsgränssnitt för brandväggar blev en möjlig väg vidare till den interna identitetsinfrastrukturen.

Den rapporterade totalsumman omfattar 24 perimeterbrandväggar och en intern hanteringsserver. Dream undanhöll uppgifter om den berörda leverantören och programvaruversionerna och uppgav att företaget hade underrättat leverantören.

Så tog sig exploateringskedjan över två säkerhetsgränser

I attackkedjan kombinerades PHP2Shell, som spåras under CVE-2026-109618 och CVE-2026-109619, med den privilegieeskaleringssårbarhet i Linux som kallas Fragnesia, CVE-2026-46300.

De här sårbarheterna tar sig förbi olika hinder. Fjärrkörning av kod ger en angripare möjlighet att köra kod via en tjänst som är åtkomlig. Lokal privilegieeskalering kan därefter förvandla en begränsad åtkomst till kontroll över operativsystemet. När sårbarheterna kombineras förändras förutsättningarna för incidenthanteringen: utredarna måste ta reda på vad den komprometterade apparaten kunde nå utöver sitt eget hanteringsgränssnitt.

Red Hat beskriver Fragnesia som en sårbarhet i Linuxkärnans XFRM ESP-in-TCP-delsystem. Osäker kryptografisk bearbetning kan göra det möjligt för en lokal angripare med låga privilegier att ändra sidcachen för skrivskyddade filer, skriva över binärfiler med höga privilegier och få rootbehörighet. Det är alltså en separat metod för privilegieeskalering, inte den första ingången utan autentisering.

Dream bekräftade att inloggningsuppgifter för ett LDAP-tjänstkonto hade hämtats ut och att katalogen hade genomsökts. Företaget kunde inte fastställa om lösenordssprejning, försök att skapa bakdörrskonton eller stöld av SAML-signeringsnyckeln hade lyckats. Den begränsningen är viktig: bekräftad åtkomst till kataloginformation visar inte att Active Directory har tagits över helt.

Vad AI-bevisningen visar

Utredarna hittade Claude Code installerat och en offensiv plattform konfigurerad med DeepSeek och Kimi. Dream uppgav att företaget inte hade några direkta belägg för att de här verktygen hade skrivit exploateringskoden eller skripten för aktiviteter efter intrånget, och beskrev inte operationen som helt autonom. Företagets antydan om en möjlig koppling till Kina är osäker; det namngav ingen hotaktör.

För försvarare innebär den här skillnaden att observerbara verktyg måste skiljas från slutsatser om upphovsperson, operatörens identitet eller graden av autonomi. Att en kodningsassistent finns med kan stödja en hypotes om arbetsflödet, men räcker inte i sig för att fastställa vilka beslut en modell fattade eller vem som styrde operationen.

PHP-uppdateringarna och den tidigare exploateringsperioden

I PHP-projektets säkerhetsmeddelande den 21 oktober anges PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35 som säkerhetsversionerna som åtgärdar de två kritiska sårbarheterna för fjärrkörning av kod. Den ena gäller hantering av minnesbrist, som gör att interna förfrågningsdata förblir delvis oinitierade; den andra innebär att inaktuellt internt tillstånd finns kvar efter att det underliggande minnet har frigjorts.

Projektet varnar för att PHP-installationer som hanterar webbförfrågningar är utsatta, och bedömer risken som högst för Apaches mod_php-konfiguration. Projektet uppger att partiella skyddsåtgärder inte ger ett fullständigt skydd och uppmanar användare att uppdatera. För paketerade apparater beror den praktiska åtgärden på vilka fasta programvaror och bakåtporterade korrigeringar leverantören stöder, inte enbart på versionsnumret för körmiljön.

Unite.AI har tidigare rapporterat om PHP-korrigeringarna och den banbrytande AI:ns roll i upptäckten av sårbarheterna. Den nya rapporten flyttar fokus från upptäckten till följderna av en exponerad driftsättning.

Separat rapporterade Amazon Threat Intelligence om försök att utnyttja PHP2Shell i sitt MadPot-honungsnätverk, med början den 17 oktober, före det offentliga tillkännagivandet. Den telemetrin visar inte att samma operatör genomförde den kampanj som Dream beskriver.

AWS rekommenderar att organisationer mäter tiden det tar att åtgärda kritiska sårbarheter som exponeras mot internet i timmar, inleder utredningar utifrån den tidigaste kända exploateringen i stället för datumet för offentliggörandet och utvecklar detekteringsmetoder som inte enbart bygger på en signatur för ett visst CVE. När det gäller PHP2Shell rekommenderar AWS att man granskar aktiviteten tillbaka till åtminstone den 17 oktober.

Så passar Dreams teknik in

På sin företagswebbplats beskriver Dream Hero som ett autonomt system för cybersäkerhetsforskning som stöder sårbarhetsutredningar, baklängeskonstruktion av skadlig kod, forensisk analys och verifierade korrigeringar. Den kompletterande plattformen Sphere fokuserar på att kartlägga exponering och prioritera skyddet inom myndighetsmiljöer och kritisk infrastruktur.

Den tekniska skillnaden handlar om att utreda en viss svaghet jämfört med att förstå var den spelar roll i ett operativt nätverk. En gränsapparat, dess hanteringsserver och en identitetskatalog kan ha olika ägare och uppdateringscykler, men en angripare kan länka samman dem till en enda angreppsväg. För att begränsa intrånget effektivt måste man granska den vägen och samtidigt installera de relevanta uppdateringarna.