PHP2Shell lanac kompromitovao 25 firewall servera
Istraživači kompanije Dream otkrili su napad koji je iskoristio ranjivosti PHP2Shell, CVE-2026-109618 i CVE-2026-109619, obe sa CVSS ocenom 9,2, zajedno sa Linux ranjivošću Fragnesia, CVE-2026-46300, ocenjenom sa 7,8. Napadač je stekao root pristup na 25 servera, među kojima su tri sistema u okruženju povezanom sa američkom vladom.
Meta su bili izloženi upravljački interfejsi firewall uređaja neimenovanog velikog proizvođača. Dream navodi da pogođeni uređaji koriste određene verzije firewall softvera, dok je operater uređaje obavestio o nalazu.
Od pretrage interneta do pristupa Active Directoryju
Lanac je ciljao mehanizam session.upload_progress u PHP-u na appweb upravljačkom serveru firewalla. Operativni sistem uređaja koristi PHP 8.0.30 sa visokim memorijskim ograničenjem, što je omogućilo faze oštećenja memorije potrebne za napad.
Pronađena implementacija nije javno dostupan PHP2Shell exploit. Dream je opisuje kao prilagođenu, nezavisno razvijenu verziju usmerenu baš na ciljanu firewall platformu. Nakon izvršavanja koda, Fragnesia je korišćena za lokalnu eskalaciju privilegija do root nivoa.
Napadač je preko FOFA servisa identifikovao približno 19.000 firewall uređaja sa javno dostupnim upravljačkim interfejsima. Prilagođeni skener dobio je podatke o verzijama od oko 5.000 uređaja, a zatim je izbor sužen na SAD, Japan, Tajvan i Južnu Koreju i na novije grane sistema sa PHP-om 8.0.30. Tako je nastala lista od 240 meta.
Automatizacija napada i moguća AI podrška
Automatizovani izvršilac učitavao je listu meta, pokretao PHP2Shell-Fragnesia lanac, postavljao PHP veb školjku u javno dostupan direktorijum i beležio ime računara i IP adresu u CSV datoteku. Ovim postupkom kompromitovana su 24 servera, a ukupan broj je kasnije porastao na 25.
U okruženju povezanim sa američkom vladom dva sistema su prvo kompromitovana, pri čemu je jedan prestao da radi ubrzo nakon što je 23. oktobra dobio root pristup. Drugi sistem kompromitovan je 24. oktobra, a obrnuti SSH tunel je potom poslužio kao trajni kanal ka unutrašnjoj mreži. Kroz taj tunel kompromitovan je i treći, interni upravljački firewall server.
Nakon toga napadač je ciljao Active Directory: pokušao je da dešifruje lozinku LDAP servisnog naloga, popiše korisnike, primeni lozinke povezane sa organizacijom na sve naloge i napravi pozadinske Active Directory naloge. Nije poznato da li su izvučeni važeći akreditivi ili uspešno stvoreni takvi nalozi, pa potpuni obim kompromitacije ostaje neodređen.
Artefakti uključuju Anthropic Claude Code, API ključeve za FOFA i platformu aiscan podešenu za rad sa LLM modelima DeepSeek i Kimi. Struktura koda, stil komentara i doslednost među skoro 40 skripti ukazuju da je AI mogao da pomogne razvoju. Važnost brzog reagovanja naglašava i pokušaji napada pre javnog otkrivanja ranjivosti koja pokazuje da su pokušaji napada zabeleženi pre javnog otkrivanja ranjivosti.
Praktični prioriteti za organizacije
Izloženi upravljački interfejs može postati ulazna tačka ka infrastrukturi identiteta. Organizacije treba da ograniče pristup upravljanju firewall uređajima, primene dostupne bezbednosne ispravke, potraže veb školjke i neuobičajene obrnute SSH veze, te provere aktivnosti u Active Directoryju. Posebno je važno proveriti servisne naloge, pokušaje masovnog pogađanja lozinki i neočekivano kreirane naloge.