Dream повідомила про ланцюжок атак PHP2Shell, унаслідок якого було скомпрометовано 25 серверів

Dream повідомила про ланцюжок атак PHP2Shell, унаслідок якого, за її словами, було скомпрометовано 25 серверів, зокрема системи в середовищі, пов’язаному з урядом США. У розслідуванні від 26 жовтня описано, як доступний ззовні інтерфейс керування брандмауером став шляхом до внутрішньої інфраструктури ідентифікації.

За повідомленням, загалом було уражено 24 периметрові брандмауери та один внутрішній сервер керування. Dream не розкрила назву постраждалого постачальника й версії програмного забезпечення та повідомила, що сповістила його.

Як ланцюжок експлойтів подолав два рубежі безпеки

У ланцюжку поєднали PHP2Shell, зареєстрований як CVE-2026-109618 і CVE-2026-109619, із вразливістю Linux Fragnesia, що дає змогу підвищити привілеї, — CVE-2026-46300.

Ці вразливості дають змогу подолати різні перешкоди. Віддалене виконання коду надає зловмиснику можливість запускати код через доступну службу. Локальне підвищення привілеїв може перетворити обмежений початковий доступ на контроль над операційною системою. Їх поєднання змінює завдання реагування на інцидент: розслідувачам потрібно з’ясувати, до чого скомпрометований пристрій міг отримати доступ поза власним інтерфейсом керування.

Red Hat описує Fragnesia як ваду в підсистемі XFRM ESP-in-TCP ядра Linux. Небезпечна обробка криптографічних даних може дати локальному зловмиснику з низькими привілеями змогу змінити кеш сторінок файлів, доступних лише для читання, перезаписати привілейовані двійкові файли й отримати права root. Отже, це окремий механізм підвищення привілеїв, а не початковий вектор проникнення без автентифікації.

Dream підтвердила викрадення облікових даних сервісного облікового запису LDAP і перебір записів каталогу. Вона не змогла встановити, чи вдалося здійснити розпилення паролів, спробу створення облікового запису для бекдору або викрадення ключа підпису SAML. Ці обмеження мають значення: підтверджений доступ до інформації каталогу не свідчить про повне захоплення Active Directory.

Що підтверджують дані про ШІ

Розслідувачі виявили встановлений Claude Code та інструментальну платформу для кібероперацій, налаштовану з DeepSeek і Kimi. Dream заявила, що не має прямих доказів того, що ці інструменти створили експлойт або скрипти для дій після проникнення, і не характеризувала операцію як повністю автономну. Її припущення про можливий зв’язок із Китаєм є попереднім; жодного зловмисника вона не назвала.

Для фахівців із захисту це розмежування відділяє спостережувані інструменти від висновків про авторство, особу оператора чи автономність. Наявність помічника для написання коду може підкріплювати гіпотезу про робочий процес, але сама по собі не доводить, які рішення ухвалювала модель і хто керував операцією.

Виправлення PHP і період, коли експлуатація вже була можливою

У повідомленні про безпеку від 21 жовтня проєкт PHP називає PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 версіями з виправленнями двох критичних вразливостей віддаленого виконання коду. Одна з них пов’язана з тим, що під час обробки браку пам’яті внутрішні дані запиту залишаються частково неініціалізованими; інша — зі збереженням застарілого внутрішнього стану після звільнення пам’яті, у якій він зберігався.

Проєкт попереджає, що PHP-інсталяції, які обслуговують вебзапити, перебувають під загрозою; найвищий оцінений рівень ризику стосується конфігурації Apache mod_php. У проєкті зазначають, що часткові заходи пом’якшення не забезпечують повного захисту, і закликають користувачів оновити програмне забезпечення. Для пристроїв із попередньо встановленим програмним забезпеченням практичний спосіб усунення вразливості залежить від прошивки, яку підтримує постачальник, і перенесених до неї виправлень, а не лише від номера версії середовища виконання.

Раніше Unite.AI висвітлювало виправлення PHP і роль передових моделей ШІ у виявленні вразливостей. У новому звіті увагу зосереджено не на виявленні вразливостей, а на наслідках розгортання системи з доступом ззовні.

Окремо Amazon Threat Intelligence повідомила про спроби експлуатації PHP2Shell у своїй мережі пасток MadPot, починаючи з 17 жовтня — до публічного розкриття інформації. Ці дані спостережень не доводять, що кампанію, описану Dream, проводив той самий оператор.

AWS рекомендує вимірювати строки усунення критичних вразливостей в інтернет-доступних системах у годинах, починати розслідування з найранішого відомого випадку експлуатації, а не з дати розкриття інформації, і розробляти засоби виявлення, які не залежать лише від сигнатури для конкретної CVE. У випадку PHP2Shell AWS рекомендує перевірити події щонайменше від 17 жовтня.

Місце технологій Dream

На сайті компанії Dream позиціонує Hero як автономну систему кібердосліджень для розслідування вразливостей, зворотного аналізу шкідливого програмного забезпечення, судово-технічного аналізу та перевірки виправлень. Додаткова платформа Sphere призначена для визначення рівня вразливості та розставлення пріоритетів захисту в державних установах і середовищах критичної інфраструктури.

Технічна відмінність полягає в тому, що одне — розслідувати конкретну вразливість, а інше — розуміти, де вона має значення в операційній мережі. Периметровий пристрій, його сервер керування та каталог ідентифікації можуть мати різних власників і цикли оновлення, однак зловмисник здатен поєднати їх в один шлях атаки. Для ефективного стримування загрози потрібно дослідити цей шлях і встановити відповідні оновлення.