รายงานของ Dream เผยห่วงโซ่การโจมตี PHP2Shell ที่เจาะระบบเซิร์ฟเวอร์ได้ 25 เครื่อง

Dream รายงานห่วงโซ่การโจมตี PHP2Shell ซึ่งระบุว่าเจาะระบบเซิร์ฟเวอร์ได้ 25 เครื่อง รวมถึงระบบในสภาพแวดล้อมที่เกี่ยวข้องกับรัฐบาลสหรัฐฯ การสืบสวนเมื่อวันที่ 26 ตุลาคมของ Dream อธิบายว่า อินเทอร์เฟซจัดการไฟร์วอลล์ที่เปิดให้เข้าถึงจากภายนอกกลายเป็นช่องทางไปสู่โครงสร้างพื้นฐานด้านอัตลักษณ์ภายในได้อย่างไร

ยอดรวมที่รายงานประกอบด้วยไฟร์วอลล์ขอบเครือข่าย 24 เครื่อง และเซิร์ฟเวอร์จัดการภายใน 1 เครื่อง Dream ไม่เปิดเผยผู้ผลิตและเวอร์ชันซอฟต์แวร์ที่ได้รับผลกระทบ และระบุว่าได้แจ้งผู้ผลิตแล้ว

ห่วงโซ่การโจมตีข้ามแนวป้องกันความปลอดภัยสองชั้นได้อย่างไร

ห่วงโซ่การโจมตีนี้ใช้ PHP2Shell ซึ่งติดตามช่องโหว่ในชื่อ CVE-2026-109618 และ CVE-2026-109619 ร่วมกับช่องโหว่ยกระดับสิทธิ์บน Linux ที่เรียกว่า Fragnesia หมายเลข CVE-2026-46300

ช่องโหว่เหล่านี้ข้ามแนวป้องกันคนละชั้น การเรียกใช้โค้ดจากระยะไกลเปิดทางให้ผู้โจมตีรันโค้ดผ่านบริการที่เข้าถึงได้ จากนั้น การยกระดับสิทธิ์ภายในเครื่องอาจเปลี่ยนจุดยึดที่มีสิทธิ์จำกัดให้กลายเป็นการควบคุมระบบปฏิบัติการได้ เมื่อนำช่องโหว่ทั้งสองมาใช้ร่วมกัน การรับมือเหตุการณ์จึงซับซ้อนขึ้น เพราะผู้ตรวจสอบต้องพิจารณาว่าอุปกรณ์ที่ถูกเจาะอาจเข้าถึงสิ่งใดได้บ้าง นอกเหนือจากอินเทอร์เฟซจัดการของอุปกรณ์เอง

Red Hat อธิบายว่า Fragnesiaเป็นช่องโหว่ในระบบย่อย XFRM ESP-in-TCP ของเคอร์เนล Linux การประมวลผลข้อมูลเข้ารหัสที่ไม่ปลอดภัยอาจเปิดทางให้ผู้โจมตีภายในเครื่องซึ่งมีสิทธิ์ต่ำแก้ไขแคชเพจของไฟล์ที่อ่านได้อย่างเดียว เขียนทับไบนารีที่มีสิทธิ์สูง และได้สิทธิ์ root ดังนั้น ช่องโหว่นี้จึงเป็นกลไกยกระดับสิทธิ์ที่แยกต่างหาก ไม่ใช่ช่องทางเริ่มต้นสำหรับการบุกรุกโดยไม่ต้องยืนยันตัวตน

Dream ยืนยันว่ามีการดึงข้อมูลรับรองของบัญชีบริการ LDAP ออกไป และมีการไล่ตรวจสอบข้อมูลในไดเรกทอรี แต่ไม่สามารถยืนยันได้ว่าการสุ่มเดารหัสผ่าน การพยายามสร้างบัญชีลับสำหรับการเข้าถึงภายหลัง หรือการดึงคีย์ลงนาม SAML ประสบผลสำเร็จหรือไม่ ข้อจำกัดเหล่านี้มีความสำคัญ เพราะการยืนยันว่าเข้าถึงข้อมูลในไดเรกทอรีได้ ไม่ได้หมายความว่าผู้โจมตีเข้าควบคุม Active Directory ได้ทั้งหมด

หลักฐานเกี่ยวกับ AI บอกอะไรได้บ้าง

ผู้ตรวจสอบพบว่ามีการติดตั้ง Claude Code และตั้งค่าแพลตฟอร์มสำหรับการโจมตีไว้ร่วมกับ DeepSeek และ Kimi Dream ระบุว่าไม่มีหลักฐานโดยตรงว่าเครื่องมือเหล่านี้เขียนช่องโหว่หรือสคริปต์ที่ใช้หลังการเจาะระบบ และไม่ได้ระบุว่าปฏิบัติการนี้ทำงานได้โดยอัตโนมัติอย่างเต็มรูปแบบ ข้อสันนิษฐานว่าปฏิบัติการนี้มีความเชื่อมโยงกับจีนยังไม่แน่ชัด และ Dream ไม่ได้ระบุชื่อผู้โจมตี

สำหรับผู้ป้องกันระบบ ความแตกต่างนี้ช่วยแยกเครื่องมือที่ตรวจพบได้ออกจากข้อสรุปเกี่ยวกับผู้เขียน ผู้ปฏิบัติการ หรือระดับความเป็นอิสระในการทำงาน การพบผู้ช่วยเขียนโค้ดอาจสนับสนุนสมมติฐานเกี่ยวกับขั้นตอนการทำงาน แต่เพียงเท่านี้ยังไม่อาจยืนยันได้ว่าโมเดลเป็นผู้ตัดสินใจเรื่องใดบ้าง หรือใครเป็นผู้สั่งการปฏิบัติการ

การแก้ไข PHP และช่วงเวลาก่อนเริ่มมีการโจมตี

ประกาศแจ้งเตือนของโครงการ PHP เมื่อวันที่ 21 ตุลาคมระบุว่า PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เป็นรุ่นอัปเดตด้านความปลอดภัยที่แก้ไขช่องโหว่ร้ายแรงระดับวิกฤตสำหรับการเรียกใช้โค้ดจากระยะไกลทั้งสองรายการ ช่องโหว่หนึ่งเกิดจากการจัดการกรณีหน่วยความจำไม่เพียงพอ ซึ่งทำให้ข้อมูลคำขอภายในถูกกำหนดค่าเริ่มต้นไม่ครบถ้วน อีกช่องโหว่เกิดจากสถานะภายในที่ค้างอยู่หลังจากหน่วยความจำที่รองรับสถานะดังกล่าวถูกคืนแล้ว

โครงการเตือนว่าการติดตั้ง PHP ที่ให้บริการคำขอผ่านเว็บมีความเสี่ยง โดยประเมินว่าการตั้งค่า mod_php ของ Apache มีความเสี่ยงสูงที่สุด โครงการระบุว่ามาตรการบรรเทาความเสี่ยงเพียงบางส่วนไม่ได้ให้การป้องกันอย่างสมบูรณ์ และแนะนำให้ผู้ใช้ติดตั้งอัปเดต สำหรับอุปกรณ์สำเร็จรูปที่ติดตั้งแพ็กเกจไว้แล้ว แนวทางแก้ไขที่ใช้ได้จริงขึ้นอยู่กับเฟิร์มแวร์ที่ผู้ผลิตรองรับและการนำแพตช์รุ่นใหม่ไปใส่ในซอฟต์แวร์รุ่นเก่า ไม่ใช่ดูจากหมายเลขเวอร์ชันขณะทำงานเพียงอย่างเดียว

ก่อนหน้านี้ Unite.AI ได้นำเสนอเรื่องแพตช์ PHP และบทบาทของ AI แนวหน้าในการค้นพบช่องโหว่ รายงานฉบับใหม่นี้หันมาให้ความสนใจกับผลกระทบจากการนำระบบที่เปิดช่องโหว่มาใช้งาน

อีกด้านหนึ่ง Amazon Threat Intelligence รายงานความพยายามโจมตีผ่าน PHP2Shell ในเครือข่ายฮันนีพอต MadPot โดยเริ่มตั้งแต่วันที่ 17 ตุลาคม ก่อนที่จะมีการเปิดเผยข้อมูลต่อสาธารณะ อย่างไรก็ตาม ข้อมูลจากระบบตรวจวัดดังกล่าวไม่ได้ยืนยันว่าผู้ปฏิบัติการรายเดียวกันเป็นผู้ดำเนินแคมเปญที่ Dream อธิบาย

AWS แนะนำให้วัดระยะเวลาในการบรรเทาความเสี่ยงจากช่องโหว่ร้ายแรงที่เชื่อมต่ออินเทอร์เน็ตโดยใช้หน่วยเป็นชั่วโมง ให้เริ่มการตรวจสอบจากช่วงเวลาที่พบการโจมตีเร็วที่สุด แทนที่จะเริ่มจากวันที่เปิดเผยช่องโหว่ และพัฒนาระบบตรวจจับที่ไม่พึ่งพาลายเซ็นเฉพาะ CVE เพียงอย่างเดียว สำหรับ PHP2Shell AWS แนะนำให้ตรวจสอบย้อนหลังอย่างน้อยถึงวันที่ 17 ตุลาคม

เทคโนโลยีของ Dream เกี่ยวข้องอย่างไร

บนเว็บไซต์ของบริษัท Dream วางตำแหน่ง Hero ให้เป็นระบบวิจัยความมั่นคงปลอดภัยไซเบอร์แบบอัตโนมัติ ซึ่งรองรับการตรวจสอบช่องโหว่ การทำวิศวกรรมย้อนกลับของมัลแวร์ การวิเคราะห์นิติวิทยาศาสตร์ และการตรวจสอบความถูกต้องของวิธีแก้ไข ส่วนแพลตฟอร์ม Sphere ที่ทำงานเสริมกันมุ่งเน้นการทำแผนที่พื้นที่เสี่ยงและจัดลำดับความสำคัญของการป้องกันในหน่วยงานภาครัฐและสภาพแวดล้อมโครงสร้างพื้นฐานสำคัญ

ความแตกต่างทางเทคนิคอยู่ที่การตรวจสอบจุดอ่อนเฉพาะจุด เทียบกับการทำความเข้าใจว่าจุดอ่อนนั้นมีความสำคัญตรงไหนในเครือข่ายที่ใช้งานจริง อุปกรณ์ขอบเครือข่าย เซิร์ฟเวอร์จัดการ และไดเรกทอรีอัตลักษณ์อาจมีผู้รับผิดชอบและรอบการติดตั้งแพตช์ต่างกัน แต่ผู้โจมตีก็สามารถเชื่อมโยงองค์ประกอบเหล่านี้ให้เป็นเส้นทางเดียวกันได้ การจำกัดวงความเสียหายอย่างมีประสิทธิภาพจึงต้องตรวจสอบเส้นทางดังกล่าวควบคู่ไปกับการติดตั้งอัปเดตที่เกี่ยวข้อง