PHP2Shell napadi: kompromitovan vladin sistem i AI tragovi
Ranjivosti PHP2Shell, označene kao CVE-2026-109618 i CVE-2026-109619, iskorišćene su u napadu na jednu evropsku vladinu organizaciju: napadači su za manje od dva sata došli do heševa lozinki i tajni za višefaktorsku autentifikaciju. Palo Alto Networks Unit 42 zabeležio je i NTLM-relay tunel prema Active Directoryju, uz pokušaj eskalacije privilegija na nivo Domain Admin.
Obe ranjivosti su kritične i mogu omogućiti udaljeno izvršavanje koda u podrazumevanim PHP konfiguracijama. Cloudflare je nakon javnog otkrivanja prijavio milione pokušaja zloupotrebe, što potvrđuje da se rizik ne zadržava na pojedinačnim, ciljanim upadima.
Komande oblikovane za agentne AI sisteme
Unit 42 je na kompromitovanom krajnjem uređaju primetio komande i obrasce ponašanja koji ukazuju na rad agentnog napadača. Aktivnosti su obuhvatile pregled autentifikacione baze ukradenim pristupnim podacima, LDAP upite prema kontroleru domena i potragu za DNS i AD integracijom, internim hostovima, privilegovanim grupama i prijavljenim korisnicima.
Komandne serije bile su obavijene oznakama kao što su ==SHELLUSER== i ==PASSWD==. Takav oblik daje izlaz koji model može lako mašinski da razdvoji i pročita, pa se posteksploatacione radnje mogu strukturisati za obradu uz pomoć AI platforme.
Sporo globalno skeniranje PHP infrastrukture
CYFIRMA je identifikovala kampanju za koju uz umereno poverenje procenjuje povezanost sa ekosistemom Lazarus Group. Kampanja koristi PHP2Shell za proveru globalne PHP infrastrukture iz 21 kompromitovanog čvora i obuhvata 216 nezaštićenih ili delimično ublaženih hostova.
Među ciljevima su organizacije iz državnog i finansijskog sektora, logistike, aerodromskog i vazduhoplovnog poslovanja, proizvodnje i platformi za onlajn transakcije, u više zemalja Azije, Severne Amerike, Australije, Bliskog istoka i Evropske unije. Skeniranje je niskog intenziteta, pažljivo tempirano, a čvorovi se rotiraju ili napuštaju kada naiđu na blokiranje ili ograničenje protoka.
Šta proveriti u odbrani
ReliaQuest je u kontrolisanoj laboratoriji reprodukovao CVE-2026-109618 i izdvojio sled artefakata koji može pomoći pri detekciji: POST zahtev vraća grešku 500, PHP beleži iscrpljenje memorije i korupciju hipa, a Apache radni proces zatim pada. Te signale treba posmatrati kroz PHP, Apache pristupne, Apache greške i sistemske dnevnike, a ne izolovano.
PHP Foundation je upozorio i na treću mogućnost udaljenog izvršavanja koda, CVE-2026-115560, pod neuobičajenom kombinacijom konfiguracije i aplikacionog koda. Xint je objavio skener izloženosti, dok Bitsight procenjuje da je gotovo 37 miliona internet dostupnih sistema pokrenuto na PHP-u ili pratećem softveru.
Najvažniji poslovni zaključak je da se propust u PHP runtime-u ne zatvara izmenom aplikacionog koda, WAF pravilom ili ažuriranjem dodatka: potrebno je ažurirati PHP na samom hostu. Timovi treba da potvrde verzije i konfiguracije, hitno obrade indikatore iz dnevnika i posle sumnjivih zahteva provere Active Directory aktivnosti i privilegovane naloge.