Een AI-ondersteunde aanval via PHP2Shell en kernel-exploit leidde tot roottoegang op 25 servers, waaronder drie bij een Amerikaanse overheidsorganisatie.
Cybersecurityonderzoekers hebben een geavanceerde aanval onthuld waarbij een vermoedelijk door China gelinkte dreigingsactor gebruikmaakte van de PHP2Shell-kwetsbaarheden om kwetsbare systemen te compromitteren. Op 25 oktober 2026 werd vastgesteld dat de aanvaller PHP2Shell combineerde met een kernel privilege escalation-exploit om roottoegang te verkrijgen op 25 servers, waaronder drie systemen binnen een netwerk dat gelieerd is aan de Amerikaanse overheid.
De getroffen apparaten draaien specifieke versies van firewallsoftware van een grote leverancier, aldus het Israëlische cybersecuritybedrijf Dream. De aanvaller voerde vervolgens aanvallen uit op Active Directory, waarbij bewijs werd gevonden van credential-extractie en directory-enumeratie. De naam van de leverancier is niet openbaar gemaakt, maar Dream heeft de betrokken organisatie geïnformeerd. De aanvalsketen maakt gebruik van twee sets kwetsbaarheden: de PHP2Shell-flaws (CVE-2026-109618 en CVE-2026-109619) die ongeauthentiseerde remote code execution mogelijk maken, en de Fragnesia Linux kernel privilege escalation (CVE-2026-46300). Dream benadrukt dat het gebruikte exploit een op maat gemaakte, niet-publieke variant betreft, specifiek ontwikkeld voor het doelplatform.
De kwetsbaarheid richt zich op PHP's session.upload_progress mechanisme binnen de appweb managementserver van de firewall, die draait op PHP 8.0.30 met een hoge geheugenlimiet. Deze configuratie maakt de geheugenbeschadigingsfase van de aanval mogelijk. Door de combinatie van de aangepaste PHP2Shell-exploit en de kernel-exploit werden servers in de Verenigde Staten, Japan, Taiwan en Zuid-Korea gecompromitteerd. Uit gevonden artefacten blijkt dat de operatie begon met exploitontwikkeling in een labomgeving, waarna persistente toegang werd verkregen tot het interne Active Directory-domein van een Amerikaanse overheidsorganisatie.
De aanval vertoont aanwijzingen van AI-ondersteuning, waaronder de installatie van Anthropic's Claude Code en het gebruik van API-sleutels voor FOFA en het AI-gestuurde offensieve beveiligingsplatform aiscan, dat grote taalmodellen van DeepSeek en Kimi inzet. De consistente code-structuur en commentaarstijl in bijna veertig scripts duiden eveneens op AI-augmented ontwikkeling.
De aanval verliep volgens Dream als volgt: de aanvaller gebruikte FOFA om wereldwijd ongeveer 19.000 internetgerichte firewalls met open managementinterfaces te identificeren. Met een aangepaste scanner werd bepaald welke apparaten online waren en welke OS-versie ze draaiden. Ongeveer 5.000 apparaten reageerden met versie-informatie. Vervolgens werden de servers gefilterd op locatie (VS, Japan, Taiwan, Zuid-Korea) en op PHP-versie 8.0.30, wat resulteerde in 240 doelwitten. Deze lijst werd ingevoerd in een geautomatiseerde batch die de PHP2Shell-Fragnesia exploitketen uitvoerde, een PHP webshell plaatste, roottoegang verifieerde en hostnamen en IP-adressen registreerde. Zo verkreeg de aanvaller roottoegang op 24 servers, waarvan twee systemen toebehoorden aan een Amerikaanse overheidsorganisatie. Eén van deze systemen crashte kort na compromittering op 23 oktober 2026 en kwam niet meer online.
