Nie tak dawno obszernie analizowaliśmy dwie krytyczne luki dotyczące silnika PHP wykorzystywanego przez miliony stron internetowych. W artykule dostępnym tutaj opisywaliśmy, jak mogą być eksploatowane te podatności. Dzisiaj zajmiemy się doniesieniami o ich praktycznym wykorzystaniu.

Autor: 4 min czytania

Firma Dream zajmująca się cyberbezpieczeństwem poinformowała, że hakerzy wykorzystują luki typu PHP2Shell w celu uzyskania uprawnień administratora (root) w zaporach sieciowych (firewallach) oraz instalują tzw. webshelle, zapewniające trwały dostęp do zainfekowanych systemów.

Na czym polega atak?

Hakerzy łączą exploity wykorzystujące dwie luki w języku PHP (oznaczone jako CVE-2026-109618 oraz CVE-2026-109619) z luką Fragnesia – błędem umożliwiającym eskalację uprawnień w jądrze systemu Linux (CVE-2026-46300).

Według ustaleń firmy w ramach zaobserwowanych działań napastnicy wykorzystali chińską wyszukiwarkę zasobów internetowych FOFA do zidentyfikowania 19 000 dostępnych publicznie zapór sieciowych konkretnego producenta. W dniach 23–24 października przeprowadzili ataki na 25 z nich.

Po wstępnym rozpoznaniu hakerzy przefiltrowali listę serwerów, wybierając te zlokalizowane w USA, Japonii, na Tajwanie i w Korei Południowej, a następnie wyodrębnili urządzenia korzystające z nowszych wersji PHP. W rezultacie uzyskali grupę 240 potencjalnych celów.

Przy użyciu zautomatyzowanego narzędzia napastnicy zaatakowali zapory sieciowe, stosując pełny łańcuch exploitów „PHP2Shell-Fragnesia”. Na 24 urządzeniach zainstalowali webshelle z uprawnieniami roota, co pozwoliło im na utrzymanie stałego dostępu.

Jakie są skutki ataków?

Choć w przypadku 22 zapór sieciowych nie zaobserwowano dalszych działań po uzyskaniu dostępu, w odniesieniu do dwóch serwerów – powiązanych ze środowiskiem amerykańskiej administracji rządowej – napastnicy podjęli kolejne kroki.

Pierwszy z przejętych serwerów uległ awarii krótko po ataku, 23 października. Dzień później, 24 października, napastnicy przeprowadzili drugą falę ataków, która zakończyła się powodzeniem.

„Napastnik monitorował [pierwszą zaporę sieciową] za pomocą 240 zautomatyzowanych zapytań w ciągu dwóch godzin, czekając na jej przywrócenie do działania. To jednak nie nastąpiło. W przypadku drugiej zapory sieciowej – której dane certyfikatu jednoznacznie wskazywały na powiązanie z organizacją docelową – podczas pierwszej serii ataków wystąpiło przekroczenie czasu oczekiwania (timeout)” – opisuje Dream.

Aby utrzymać dostęp do zapory sieciowej (firewalla), napastnicy utworzyli odwrotny tunel SSH (reverse SSH tunnel), a następnie wykorzystali go do zaatakowania wewnętrznego serwera zarządzającego zaporami za pomocą łańcucha exploitów „PHP2Shell-Fragnesia”. Dzięki temu uzyskali dostęp do konfiguracji, danych uwierzytelniających oraz ustawień wszystkich zapór sieciowych zarządzanych przez organizację.

W kolejnym kroku hakerzy wykorzystali serwer zarządzający, aby uzyskać dostęp do hasła konta usługi LDAP i je odszyfrować, przeprowadzić enumerację użytkowników i grup w domenie, wykonać ataki typu „password spraying” (masowe próby logowania przy użyciu popularnych haseł), a także podjąć próby utworzenia kont typu „backdoor” w usłudze Active Directory.

Firma Dream nie przypisała tych działań konkretnemu podmiotowi, jednak uważa, że są one częścią operacji powiązanej z Chinami.