PHP2Shell chain depërton në një rrjet të lidhur me qeverinë e SHBA-së
PHP2Shell u kombinua me një dobësi Linux për privilege escalation për të siguruar root access, nivelin më të lartë të kontrollit të sistemit, në 25 servera në SHBA, Japoni, Tajvan dhe Korenë e Jugut. Kompania izraelite e sigurisë kibernetike Dream tha se sistemet e prekura përfshinin tre servera në një mjedis të lidhur me qeverinë e SHBA-së. Kompania e vëzhgoi aktivitetin më 25 tetor 2026 dhe vlerësoi se operacioni u krye nga një threat actor që dyshohet se ka lidhje me Kinën, me ndihmën e mjeteve të inteligjencës artificiale.
Pajisjet e prekura përdornin versione të caktuara të software firewall nga një furnizues i madh, emri i të cilit nuk u bë publik. Një firewall kontrollon se cili trafik rrjeti lejohet të hyjë ose të dalë nga një organizatë. Dream tha se e njoftoi furnizuesin, por nuk e zbuloi identitetin e tij. Pas komprometimit të firewall, sulmuesi u zhvendos drejt Active Directory, sistemit të Microsoft për menaxhimin e përdoruesve, kompjuterëve dhe lejeve të aksesit të një organizate. Artefaktet e rikuperuara treguan përpjekje për të nxjerrë kredenciale dhe për të listuar përmbajtjen e directory, që do të thotë se sulmuesi renditi llogaritë dhe informacione të tjera të disponueshme për identitetet.
Sulmi bashkoi tri dobësi. PHP2Shell përbëhet nga CVE-2026-109618 dhe CVE-2026-109619, të dyja me vlerësim 9.2 sipas Common Vulnerability Scoring System, një shkallë që tregon seriozitetin e një dobësie sigurie. Dy dobësitë në PHP mund të lejojnë remote code execution pa autentikim, duke i mundësuar një personi të jashtëm të ekzekutojë komanda pa u identifikuar më parë. Fragnesia, e gjurmuar si CVE-2026-46300 dhe me vlerësim 7.8, është një dobësi local privilege escalation në Linux kernel, pjesa qendrore e operating system. Ajo u përdor për ta kthyer aksesin fillestar në kontroll root.
Dream zbuloi se komponenti PHP2Shell ishte një zbatim i personalizuar dhe jo publik, në vend që të ishte kopje e një exploit publik të njohur. Megjithëse ndiqte të njëjtën teknikë bazë, dukej se ishte zhvilluar në mënyrë të pavarur dhe ishte përshtatur për platformën firewall të shënjestruar. Ai sulmonte veçorinë session.upload_progress të PHP në serverin e menaxhimit appweb të firewall. Operating system përdorte PHP 8.0.30 me një kufi të lartë memorieje, gjë që mundësoi fazat memory corruption të exploit, ku software detyrohet t’i trajtojë gabimisht të dhënat e ruajtura në memorie.
Operacioni i rikuperuar filloi me zhvillimin e exploit në një mjedis laboratorik. Më pas, sulmuesi përdori FOFA për të identifikuar rreth 19.000 firewall të ekspozuar në internet, management interface të të cilëve ishin publikisht të arritshëm. Një scanner i personalizuar kontrolloi se cilat pajisje ishin online dhe cilat versione të operating system përdornin, duke marrë informacion për versionin nga rreth 5.000 prej tyre. Lista u ngushtua te sistemet në SHBA, Japoni, Tajvan dhe Korenë e Jugut, dhe më pas te release branches më të reja që përdornin PHP 8.0.30. Kjo prodhoi 240 objektiva.
Një batch tool i automatizuar ekzekutoi PHP2Shell dhe Fragnesia chain kundër këtyre objektivave. Ai vendosi një web shell PHP, një skedar keqdashës që pranon komanda nga distanca, brenda një directory të firewall që ishte publikisht i arritshëm. Tool kontrolloi për root access dhe regjistroi hostname dhe adresën IP të çdo objektivi në një skedar CSV. Kjo fazë e automatizuar siguroi root access në 24 servera. Dy i përkisnin një organizate të lidhur me qeverinë e SHBA-së. Njëri doli jashtë funksionit pak pas komprometimit, në orën 18:14 UTC më 23 tetor 2026, dhe nuk u rikthye online. Një fushatë pasuese e përqendruar siguroi root access në sistemin e dytë në orën 10:09 UTC më 24 tetor.
Sulmuesi përdori firewall e dytë për të vendosur akses të vazhdueshëm në rrjetin e brendshëm përmes një reverse SSH tunnel. Kjo është një lidhje e enkriptuar, e nisur nga sistemi i komprometuar drejt infrastrukturës së kontrolluar nga operatori. Në orën 11:35 UTC, e njëjta metodë komprometoi një server të tretë qeveritar, një sistem të brendshëm për menaxhimin e firewall që mund të arrihej vetëm përmes tunnel. Kjo e çoi në 25 numrin e përgjithshëm të serverave ku ishte siguruar root access.
Prej aty, operacioni shënjestroi Active Directory. Ai u përpoq të dekriptonte fjalëkalimin e një LDAP service account, ku LDAP është një protokoll që përdoret për të hyrë në informacionin e directory, dhe më pas listoi përdoruesit. Sulmuesi kreu gjithashtu password spraying, duke provuar një grup të vogël fjalëkalimesh të lidhura me organizatën në të gjitha llogaritë e përdoruesve, dhe u përpoq të krijonte llogari backdoor në Active Directory. Dream nuk mundi të përcaktonte nëse u siguruan kredenciale të vlefshme ose nëse këto llogari shtesë u krijuan me sukses, prandaj shtrirja e plotë e shkeljes mbetet e panjohur.
Dëshmitë për zhvillim me ndihmën e AI përfshinin Anthropic Claude Code të instaluar në infrastrukturën e sulmit, API keys për FOFA dhe një platformë për siguri ofensive të quajtur aiscan. Kjo platformë ishte konfiguruar me large language models nga DeepSeek dhe Kimi. Dream përmendi gjithashtu strukturën, komentet dhe stilin e njëtrajtshëm në pothuajse 40 script si shenja se AI e përforcoi procesin e zhvillimit. Këto gjetje tregojnë ndihmë në krijimin e tooling, por nuk vërtetojnë në vetvete se operacioni ishte autonom.
Dream e lidhi lidhjen e dyshuar me Kinën me përqendrimin e qëllimshëm te SHBA-ja, Japonia, Tajvani dhe Koreja e Jugut, duke i përshkruar këto vende si objektiva kryesorë të inteligjencës për operacionet në Paqësor të lidhura me shtetin kinez. Attribution mbetet një vlerësim dhe jo një identitet i konfirmuar. Dream vlerësoi më tej se 22 firewall të tjerë të komprometuar mbetën në pritje, secili me një web shell aktiv; se lidhja e vazhdueshme me organizatën amerikane ka të ngjarë të ishte ende aktive; dhe se operatori ruante të dhëna për rreth 19.000 sisteme, të cilat mund të rishënjestroheshin ndërsa zhvillohej mbështetja për më shumë versione të operating system.
Shfrytëzimi publik i PHP2Shell kishte qenë ndryshe i kufizuar. Sipas raportimit që i atribuohet Flare, një anëtar i forumit XSS tha se ishte e vështirë që kodi publik proof-of-concept të kthehej në një sulm të besueshëm, sepse objektivat realë kërkojnë offsets nga libphp.so, një skedar library i PHP, dhe këto offsets ndryshojnë ndërmjet builds. Anëtari i forumit tha se riprodhimi ishte praktik në një sistem testimi ose kur file system i objektivit ishte tashmë i arritshëm, por jo lehtësisht kundër sistemeve arbitrare. Custom build i përshkruar nga Dream duket se e kishte kapërcyer këtë pengesë për platformën specifike firewall.
Për organizatat që po shqyrtojnë sistemet e ekspozuara të menaxhimit dhe rrezikun më të gjerë të infrastrukturës, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Incidenti tregon pse administrative interface nuk duhet të lihen publikisht të arritshëm pa një nevojë të qartë operative dhe pse një perimeter device i komprometuar duhet të trajtohet si një rrugë e mundshme drejt sistemeve të identitetit, jo si një problem i izoluar i një pajisjeje.