Kina-tilknyttede aktører udnytter PHP2Shell til kompromittering af firewalls
En formodet Kina-tilknyttet trusselsaktør har udnyttet de nyopdagede PHP2Shell-sårbarheder til at opnå root-adgang på internetvendte firewall-enheder. Ifølge sikkerhedsfirmaet Dream blev angrebene gennemført ved at kombinere to kritiske PHP-sårbarheder med Linux-kernenfejlen Fragnesia, hvilket gjorde det muligt at installere webshells og etablere vedvarende adgang.
Det skriver Security Week.
Angrebskæden omfattede sårbarhederne CVE-2026-109618 og CVE-2026-109619, samlet kendt som PHP2Shell, samt privilege escalation-sårbarheden Fragnesia (CVE-2026-46300). Kombinationen gav angriberne mulighed for først at opnå fjernudførelse af kode og derefter eskalere rettigheder til root-niveau på de kompromitterede systemer.
Ifølge Dream identificerede angriberne omkring 19.000 interneteksponerede firewall-enheder fra en bestemt leverandør ved hjælp af den kinesiske søgemaskine FOFA, der anvendes til kortlægning af internetforbundne systemer. Efter yderligere filtrering af mål baseret på geografi og softwareversioner blev en mindre gruppe potentielle mål udpeget, hvorefter automatiserede angreb blev iværksat.
Angreb førte til adgang til firewall-administration
I alt blev 25 firewall-enheder ramt af angrebsforsøg mellem 23. og 24. oktober. På 24 af enhederne lykkedes det angriberne at installere en PHP-baseret root-webshell, som kunne bruges til vedvarende adgang.
Mens de fleste kompromitterede systemer ikke blev udsat for yderligere aktivitet, gik angriberne videre på mindst to systemer tilhørende en amerikansk regeringsrelateret organisation. Efter at have opnået adgang til en firewall blev der etableret en reverse SSH-tunnel, som blev anvendt til at angribe organisationens interne firewall-administrationsserver.
Herfra fik angriberne adgang til konfigurationer, legitimationsoplysninger og indstillinger for samtlige firewalls under administration. Dream beskriver desuden aktivitet rettet mod organisationens Active Directory-miljø, herunder dekryptering af LDAP-servicekonti, kortlægning af brugere og grupper samt forsøg på password spraying og etablering af bagdørskonti.
Mistanke peger mod kinesisk efterretningsaktivitet
Dream har ikke knyttet aktiviteten til en navngiven gruppe, men vurderer, at angrebene sandsynligvis indgår i en kinesisk statsorienteret efterretningsoperation. Virksomheden peger på, at de primære mål befandt sig i USA, Japan, Taiwan og Sydkorea, som alle er kendte fokusområder for kinesiske cyberoperationer.
Samtidig har Palo Alto Networks bekræftet aktiv udnyttelse af PHP2Shell mod offentligt tilgængelige management-grænseflader. Leverandøren har udsendt opdateringer til en række berørte PAN-OS-versioner og anbefaler, at management-interfacet ikke eksponeres direkte mod internettet.
Udviklingen har også fået den amerikanske cybersikkerhedsmyndighed CISA til at optage Fragnesia-sårbarheden i kataloget over kendte aktivt udnyttede sårbarheder (KEV). Amerikanske føderale myndigheder er blevet pålagt at implementere de nødvendige sikkerhedsopdateringer inden udgangen af oktober.