С одного открытого интерфейса управления злоумышленники добрались до Active Directory организации, связанной с правительством США. Компания Dream сообщила, что обнаружила следы кампании, где цепочка из PHP2Shell и Linux-уязвимости Fragnesia дала атакующим root-доступ к 25 серверам. За несколько часов после взлома периметра атака перешла во внутреннюю сеть.
Для первоначального выполнения кода применялись две ошибки PHP2Shell, CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9,2 по CVSS 4.0. Затем атакующие повышали привилегии через Fragnesia, CVE-2026-46300 с оценкой 7,8 по CVSS 3.1. Целевая платформа использовала PHP 8.0.30, а полная цепочка превращала удалённый запуск команд в root-доступ менее чем за 15 минут.
Атакующие нашли через FOFA около 19 000 доступных из интернета межсетевых экранов неназванного крупного производителя. После проверки версий список сократился до 240 устройств в США, Японии, Тайване и Южной Корее. Автоматический инструмент успешно взломал 24 фаервола и установил на них PHP-вебшелл с root-правами. Производителя и уязвимые версии Dream не раскрывает.
Два скомпрометированных фаервола относились к одной организации, связанной с правительством США. Первый вскоре перестал отвечать, но второй атакующие взломали 24 октября и закрепились через обратный SSH-туннель. Через него злоумышленники достигли внутреннего сервера управления фаерволами и повторили ту же цепочку, доведя число скомпрометированных систем до 25.
Получив root-доступ к серверу управления, атакующие расшифровали пароль служебной учётной записи LDAP и выгрузили список пользователей и групп Active Directory. Затем последовали password spraying, попытки создать скрытые учётные записи и получить ключи подписи SAML. Dream подтвердила кражу учётных данных и разведку каталога, но не смогла установить, сработали ли более поздние действия.
Кампания показывает, как PHP2Shell, для которой эксплойты приходится подгонять под конкретные сборки, превращается из массового сканирования в точечный взлом инфраструктуры. В найденных материалах также были Claude Code и платформа aiscan с DeepSeek и Kimi. Dream допускает помощь ИИ при разработке инструментов, однако прямых доказательств такой роли не обнаружила.
Dream не связывает операцию с конкретной группировкой. На возможную китайскую связь указывают китайские запросы в журналах, часовой пояс UTC+8 и выбор целей, но совокупность признаков не доказывает происхождение атакующих. Разработчики PHP ранее выпустили исправления в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Реальные взломы через PHP2Shell уже подтверждались и на других системах.