Dream报告：PHP2Shell攻击链攻陷25台服务器

Dream报告称，一条PHP2Shell攻击链攻陷了25台服务器，其中包括美国政府关联环境中的系统。其10月26日的调查描述了一个暴露在外的防火墙管理界面如何成为通往内部身份基础设施的入口。

报告所述的受影响设备共包括24台边界防火墙和1台内部管理服务器。Dream未透露受影响的厂商和软件版本，并表示已通知该厂商。

漏洞利用链如何跨越两道安全边界

这条攻击链将PHP2Shell（编号为CVE-2026-109618和CVE-2026-109619）与Linux权限提升漏洞Fragnesia（CVE-2026-46300）结合在一起。

这些漏洞针对的是不同的安全屏障。远程代码执行可让攻击者通过可访问的服务运行代码。随后，本地权限提升能够将受限的立足点转变为对操作系统的控制。将两者结合起来，会改变事件响应的重点：调查人员必须考虑遭到入侵的设备能访问哪些超出其自身管理界面的资源。

Red Hat将Fragnesia描述为Linux内核XFRM ESP-in-TCP子系统中的一个漏洞。不安全的加密处理可能使权限较低的本地攻击者修改只读文件的页缓存、覆盖特权二进制文件并获取root权限。因此，它是一种独立的权限提升机制，而非最初的未授权入侵入口。

Dream确认攻击者提取了一个LDAP服务账户凭据，并枚举了目录信息。但它无法确认密码喷洒、尝试创建后门账户或提取SAML签名密钥是否成功。这些限制很重要：确认攻击者访问了目录信息，并不能证明其已完全接管Active Directory。

AI相关证据能证明什么

调查人员发现系统中安装了Claude Code，并发现一个进攻性平台配置了DeepSeek和Kimi。Dream表示，没有直接证据表明这些工具编写了漏洞利用代码或后渗透脚本，也没有将此次行动定性为完全自主。它提出的中国关联说法尚属推测；报告没有指出任何威胁行为者。

对防御人员而言，这一区别有助于将可观察到的工具与有关作者身份、操作者身份或自主程度的结论区分开来。编码助手的存在可以为有关工作流程的假设提供依据，但单凭这一点无法确定模型作出了哪些决策，也无法确定是谁指挥了这次行动。

PHP修复方案与更早的漏洞利用窗口

PHP项目10月21日发布的公告指出，PHP 8.5.12、8.4.27、8.3.36和8.2.35是修复这两个严重远程代码执行漏洞的安全版本。其中一个漏洞涉及内存耗尽处理，导致内部请求数据未能完全初始化；另一个漏洞则是底层内存释放后，过时的内部状态仍然残留。

该项目警告称，处理Web请求的PHP安装均面临风险，其中Apache的mod_php配置被评估为风险最高。项目表示，部分缓解措施无法提供全面保护，并敦促用户升级。对于打包式设备，实际的修复途径取决于厂商支持的固件和回移植的修复，而不能只看运行时版本字符串。

Unite.AI此前报道过PHP补丁以及前沿AI在发现这些漏洞方面所发挥的作用。这份新报告则将关注点从漏洞发现转向暴露在外的部署所造成的后果。

另外，Amazon Threat Intelligence 报告称，其 MadPot 蜜罐网络自 10 月 17 日起便出现了针对 PHP2Shell 的利用尝试，时间早于公开披露。这些遥测数据并不能证明，实施 Dream 所述行动的是同一名操作者。

AWS建议以小时为单位衡量面向互联网的关键漏洞的缓解时限，从已知的最早漏洞利用时间开始调查，而不是从披露日期开始，并开发不单纯依赖特定CVE特征码的检测方法。针对PHP2Shell，AWS建议至少回溯至10月17日进行排查。

Dream的技术产品定位

在其公司网站上，Dream将Hero定位为一套自主网络研究系统，支持漏洞调查、恶意软件逆向工程、取证分析和经验证的修复方案。与之互补的Sphere平台则侧重于绘制攻击面，并在政府和关键基础设施环境中确定防御工作的优先级。

从技术角度看，调查某个特定弱点与弄清它在运营网络中的影响范围，是两项不同的工作。边界设备、其管理服务器和身份目录可能分别由不同的主体负责，补丁周期也可能各不相同，但攻击者能够将它们串联成一条攻击路径。要有效遏制攻击，除了安装相关更新，还必须检查这条路径。