Эксплойт AI-ассистированного PHP2Shell получает root-доступ к 25 серверам, включая фаерволы, связанные с правительством США

Компания по кибербезопасности Dream сообщила, что 25 октября 2026 года подозреваемый актёр, связанный с Китаем, использовал комбинацию уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619) и уязвимости повышения привилегий ядра Linux (CVE-2026-46300) для получения root-доступа к 25 серверам в США, Японии, Тайване и Южной Корее. Атака была сосредоточена на фаерволах, работающих на конкретной версии программного обеспечения крупного поставщика, используя механизм PHP session.upload_progress на сервере управления устройством.

"Затронутые устройства работают на конкретных версиях программного обеспечения фаервола крупного поставщика," — заявила Dream. "Затем атакующий запустил атаки против Active Directory. Восстановленные артефакты подтверждают извлечение учётных данных и перечисление каталогов."

Анализ Dream указывает, что эксплойт был кастомным, непубличным билдом, адаптированным под платформу фаервола, и что для разработки и автоматизации скриптов атаки использовались AI-инструменты, такие как Claude Code от Anthropic, DeepSeek и Kimi. Актёр просканировал примерно 19 000 интернет-ориентированных фаерволов с помощью FOFA, выявил около 5 000 откликающихся устройств и сузил список до 240 целей, соответствующих уязвимой версии PHP. Автоматический пакетный запускёр развернул цепочку PHP2Shell-Fragnesia, разместил веб-шеллы и зафиксировал скомпрометированные хосты, что привело к root-доступу на 24 серверах.

Две из скомпрометированных систем принадлежали организации, связанной с правительством США. После сбоя одного сервера атакующий установил постоянный обратный SSH-туннель к второму фаерволу и позже получил доступ к третьему внутреннему фаерволу через этот туннель, доведя общее число полученных root-прав до 25 серверов. Операция включала попытки расшифровать пароли сервисных учётных записей LDAP, перечисление пользователей и подбор паролей, специфичных для организации, с целью создания задних учётных записей в Active Directory, хотя успех этих попыток остаётся неясным.

"Поскольку США, Япония, Тайвань и Южная Корея являются четырьмя основными стратегическими противниками и целями разведки для киберопераций, выровненных с китайским государством, в Тихоокеанском театре, это указывает на возможные усилия государства-противника," — отметила Dream.

Исследователи предупредили, что оставшиеся 22 фаервола с активными веб-шеллами всё ещё могут быть использованы, а постоянный туннель в сеть, связанную с правительством США, может оставаться рабочим, оставляя большую базу отпечатков целей для будущих кампаний.