PHP2Shell chain erreicht US-regierungsnahes Netzwerk
PHP2Shell wurde mit einer Schwachstelle zur Linux privilege escalation kombiniert, um root access, die höchste Stufe der Systemkontrolle, auf 25 Servern in den USA, Japan, Taiwan und Südkorea zu erlangen. Das israelische Cybersicherheitsunternehmen Dream erklärte, unter den betroffenen Systemen seien drei Server in einer US-regierungsnahen Umgebung gewesen. Das Unternehmen beobachtete die Aktivität am 25. Oktober 2026 und kam zu der Einschätzung, dass ein mutmaßlich mit China verbundener threat actor die Operation mit Unterstützung durch Werkzeuge für künstliche Intelligenz durchführte.
Auf den betroffenen Geräten liefen bestimmte Versionen der firewall-Software eines nicht genannten Großanbieters. Eine firewall steuert, welcher Netzwerkverkehr in eine Organisation hinein- oder aus ihr herausgelangen darf. Dream erklärte, das Unternehmen habe den Anbieter benachrichtigt, dessen Identität jedoch nicht offengelegt. Nach der Kompromittierung der firewalls bewegte sich der Angreifer in Richtung Active Directory, Microsofts System zur Verwaltung der Benutzer, Computer und Zugriffsberechtigungen einer Organisation. Sichergestellte Artefakte zeigten Versuche, Zugangsdaten zu extrahieren und das Verzeichnis zu enumerieren, das heißt, der Angreifer listete Konten und andere verfügbare Identitätsinformationen auf.
Der Angriff verband drei Schwachstellen miteinander. PHP2Shell besteht aus CVE-2026-109618 und CVE-2026-109619, die beide im Common Vulnerability Scoring System, einer Skala zur Angabe des Schweregrads einer Sicherheitslücke, mit 9,2 bewertet wurden. Die beiden PHP-Schwachstellen können unauthenticated remote code execution ermöglichen, sodass ein Außenstehender Befehle ausführen kann, ohne sich zuvor anzumelden. Fragnesia, geführt als CVE-2026-46300 und mit 7,8 bewertet, ist eine Schwachstelle zur local privilege escalation im Linux kernel, dem zentralen Teil des Betriebssystems. Sie wurde genutzt, um den anfänglichen Zugriff in root access umzuwandeln.
Dream stellte fest, dass es sich bei der PHP2Shell-Komponente um eine speziell entwickelte, nicht öffentliche Implementierung und nicht um die Kopie eines bekannten öffentlichen Exploit handelte. Obwohl sie derselben grundlegenden Technik folgte, schien sie unabhängig entwickelt und an die angegriffene firewall-Plattform angepasst worden zu sein. Sie griff die PHP-Funktion session.upload_progress auf dem appweb management server der firewall an. Das Betriebssystem verwendete PHP 8.0.30 mit einem hohen Speicherlimit, wodurch die memory corruption-Phasen des Exploit möglich wurden, bei denen Software dazu gebracht wird, im Speicher abgelegte Daten fehlerhaft zu verarbeiten.
Die rekonstruierte Operation begann mit der Entwicklung des Exploit in einer Laborumgebung. Anschließend nutzte der Angreifer FOFA, um etwa 19.000 aus dem Internet erreichbare firewalls mit offengelegten Managementschnittstellen zu identifizieren. Ein speziell entwickelter Scanner prüfte, welche Geräte online waren und welche Betriebssystemversionen darauf liefen, und erhielt von etwa 5.000 Geräten Versionsinformationen. Die Liste wurde auf Systeme in den USA, Japan, Taiwan und Südkorea und danach auf neuere Release-Zweige mit PHP 8.0.30 eingegrenzt. Daraus ergaben sich 240 Ziele.
Ein automatisiertes Batch-Werkzeug führte die PHP2Shell und Fragnesia chain gegen diese Ziele aus. Es platzierte eine PHP web shell, eine schädliche Datei, die Remote-Befehle annimmt, in einem öffentlich zugänglichen Verzeichnis der firewall. Das Werkzeug prüfte auf root access und speicherte den Hostnamen und die IP-Adresse jedes Ziels in einer CSV-Datei. In dieser automatisierten Phase wurde auf 24 Servern root access erlangt. Zwei gehörten zu einer US-regierungsnahen Organisation. Einer stürzte kurz nach der Kompromittierung am 23. Oktober 2026 um 18:14 Uhr UTC ab und ging nicht wieder online. In einer gezielten Folgekampagne wurde am 24. Oktober um 10:09 Uhr UTC auf dem zweiten System root access erlangt.
Der Angreifer nutzte diese zweite firewall, um über einen reverse SSH tunnel dauerhaften Zugriff auf das interne Netzwerk einzurichten. Dabei handelt es sich um eine verschlüsselte Verbindung, die vom kompromittierten System zurück zu einer vom Operator kontrollierten Infrastruktur aufgebaut wird. Um 11:35 Uhr UTC wurde mit derselben Methode ein dritter Regierungsserver kompromittiert, ein internes firewall-Managementsystem, das nur über den reverse SSH tunnel erreichbar war. Damit stieg die Gesamtzahl der Server mit root access auf 25.
Von dort aus nahm die Operation Active Directory ins Visier. Sie versuchte, das Passwort eines LDAP-service account zu entschlüsseln, wobei LDAP ein Protokoll für den Zugriff auf Verzeichnisinformationen ist, und listete anschließend Benutzer auf. Der Angreifer führte außerdem password spraying durch, wobei er eine kleine Auswahl von Passwörtern mit Bezug zur Organisation bei sämtlichen Benutzerkonten ausprobierte, und versuchte, Backdoor-Konten in Active Directory zu erstellen. Dream konnte nicht feststellen, ob gültige Zugangsdaten erlangt oder diese zusätzlichen Konten erfolgreich erstellt wurden. Daher bleibt das vollständige Ausmaß des Einbruchs unbekannt.
Zu den Hinweisen auf eine KI-unterstützte Entwicklung gehörten Anthropic's Claude Code, das in der Angriffsinfrastruktur installiert war, API keys für FOFA sowie eine Offensive-Security-Plattform namens aiscan. Diese Plattform war mit large language models von DeepSeek und Kimi konfiguriert. Dream verwies außerdem auf die Struktur, die Kommentare und den einheitlichen Stil von fast 40 Skripten als Anzeichen dafür, dass KI den Entwicklungsprozess unterstützte. Diese Erkenntnisse deuten auf Unterstützung bei der Entwicklung der Werkzeuge hin, belegen für sich genommen jedoch nicht, dass die Operation autonom ablief.
Dream leitete die mutmaßliche Verbindung zu China aus der gezielten Konzentration auf die USA, Japan, Taiwan und Südkorea ab und bezeichnete diese Länder als wichtige Aufklärungsziele für mit dem chinesischen Staat verbundene Operationen im Pazifik. Die Zuschreibung bleibt eine Einschätzung und keine bestätigte Identifizierung. Dream kam ferner zu der Einschätzung, dass 22 weitere kompromittierte firewalls jeweils mit einer aktiven web shell in Bereitschaft verblieben, dass die dauerhafte Verbindung in die US-Organisation wahrscheinlich noch aktiv war und dass der Operator weiterhin über Angaben zu rund 19.000 Systemen verfügte. Auf diese könnte erneut zugegriffen werden, sobald Unterstützung für weitere Betriebssystemversionen entwickelt worden wäre.
Die öffentliche Ausnutzung von PHP2Shell war ansonsten begrenzt. Laut einer Flare zugeschriebenen Berichterstattung erklärte ein Mitglied des XSS-Forums, dass öffentlicher proof-of-concept code nur schwer in einen zuverlässigen Angriff umzuwandeln sei, weil reale Ziele offsets aus libphp.so, einer PHP-Bibliotheksdatei, erforderten und sich diese offsets zwischen verschiedenen builds unterschieden. Das Forenmitglied erklärte, eine Reproduktion sei auf einem Testsystem oder bei bereits vorhandenem Zugriff auf das Dateisystem des Ziels praktikabel, nicht jedoch ohne Weiteres gegen beliebige Systeme. Der von Dream beschriebene speziell entwickelte build scheint dieses Hindernis für die konkrete firewall-Plattform überwunden zu haben.
Für Organisationen, die offengelegte Managementsysteme und umfassendere Infrastrukturrisiken überprüfen, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung. Der Vorfall zeigt, weshalb administrative Schnittstellen ohne eindeutige betriebliche Notwendigkeit nicht öffentlich erreichbar sein sollten und weshalb ein kompromittiertes Perimetergerät als möglicher Weg in Identitätssysteme behandelt werden muss und nicht als isoliertes Geräteproblem.