Атака PHP2Shell дала root-доступ к 25 серверам и затронула среду США
Компания Dream раскрыла атаку с использованием уязвимостей PHP2Shell и повышения привилегий в Linux: злоумышленники получили root-доступ к 25 серверам в США, Японии, Тайване и Южной Корее. Среди них оказались три системы в среде, связанной с правительственной организацией США. Dream связывает активность с предполагаемым актором, связанным с Китаем.
Как была построена цепочка
Атакующие объединили две критические уязвимости PHP2Shell — CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9,2 — с локальной уязвимостью повышения привилегий Fragnesia в ядре Linux, CVE-2026-46300, оценённой в 7,8 балла.
По оценке Dream, использованный код не был копией известных публичных эксплойтов. Исследователи назвали его закрытой кастомной сборкой, адаптированной к целевой платформе межсетевого экрана. Атака затрагивала механизм PHP session.upload_progress на сервере управления appweb. На устройствах работал PHP 8.0.30 с высоким лимитом памяти, позволявшим выполнить этапы повреждения памяти.
Контекст критичности PHP2Shell дополняет попытка атаки PHP2Shell до публичного раскрытия и показывает, почему раннее выявление попыток эксплуатации необходимо ещё до появления массовых кампаний.
От поиска устройств к Active Directory
Сначала оператор использовал FOFA для поиска примерно 19 000 интернет-доступных межсетевых экранов с открытыми интерфейсами управления. Собственный сканер версий получил сведения примерно от 5 000 устройств. Затем атакующие отобрали системы в четырёх странах на новых ветках ПО с PHP 8.0.30; в списке осталось 240 целей.
Автоматический обработчик запускал цепочку PHP2Shell-Fragnesia, размещал PHP веб-шелл в публично доступном каталоге устройства, проверял root-доступ и записывал имя хоста с IP-адресом в CSV. Так были скомпрометированы 24 сервера. Один из узлов в американской среде перестал отвечать вскоре после получения root-доступа, после чего атакующие отдельно взломали второй узел и создали обратный SSH-туннель во внутреннюю сеть.
Через этот туннель был доступен третий внутренний сервер управления межсетевым экраном. После закрепления атакующие нацелились на Active Directory: пытались расшифровать пароль сервисной учётной записи LDAP, перечисляли пользователей и выполняли password spraying с паролями, связанными с организацией. Также были попытки создать бэкдорные учётные записи. Dream не установила, удалось ли получить действительные учётные данные или создать такие аккаунты.
Признаки использования ИИ-инструментов
На инфраструктуре атаки обнаружили Claude Code, API-ключи FOFA и платформу aiscan, настроенную на большие языковые модели DeepSeek и Kimi. Единая структура кода, стиль комментариев и согласованность почти 40 скриптов, по оценке Dream, указывают на использование ИИ как вспомогательного средства разработки.
Для бизнеса ключевой вывод состоит в том, что опубликованный в интернете интерфейс управления может стать входом в инфраструктуру идентификации. Следует ограничить внешний доступ к таким интерфейсам, проверить обновления затронутых платформ и расследовать признаки веб-шеллов, обратных SSH-туннелей и аномальной активности в Active Directory.