Ein Angreifer erlangte Root-Zugriff auf 25 Server, auf denen die Firewall-Software eines Herstellers lief, darunter drei in einer mit der US-Regierung verbundenen Umgebung – so die Ergebnisse des Cybersicherheitsunternehmens Dream, über die The Hacker News berichtete. Die Operation kombinierte PHP-Schwachstellen mit einem Linux-Kernel-Exploit und nutzte anschließend eine kompromittierte Firewall, um interne Systeme zu erreichen und Active Directory ins Visier zu nehmen.
Der Bericht vom 28. Oktober beschreibt Aktivitäten, die am 25. Oktober 2026 beobachtet wurden; geborgene Artefakte datieren einzelne Kompromittierungen auf den 23. und 24. Oktober. Dream gab an, den Firewall-Hersteller benachrichtigt zu haben, dessen Name in dem Bericht nicht genannt wird.
Der Angriff verband PHP2Shell – CVE-2026-109618 und CVE-2026-109619, die eine Remote-Code-Ausführung ohne Authentifizierung ermöglichen können – mit Fragnesia, einer lokalen Schwachstelle zur Rechteausweitung, die als CVE-2026-46300 geführt wird. Letztere ermöglichte es dem Angreifer, seine Zugriffsrechte auf Root-Ebene zu erhöhen, wodurch er administrative Kontrolle über die betroffenen Systeme erlangte.
Laut Dream handelte es sich bei der geborgenen PHP2Shell-Implementierung um einen maßgeschneiderten, nicht öffentlichen Build, der auf die Firewall-Plattform zugeschnitten war. Sie zielte auf den session.upload_progress-Mechanismus von PHP auf dem appweb-Management-Server der Firewall. Die angegriffene Software verwendete PHP 8.0.30 mit einem hohen Speicherlimit, das die Phasen der Speicherkorruption des Exploits ermöglichte. Diese Bedingungen sind relevant: Die Ergebnisse belegen nicht, dass jede aus dem Internet erreichbare PHP-Installation für diese Implementierung anfällig war.
Von exponierten Firewalls zu internen Konten
Die Rekonstruktion von Dream beschreibt einen Auswahlprozess, der mit rund 19.000 aus dem Internet erreichbaren Firewalls begann, deren Management-Schnittstellen offenlagen. Ein maßgeschneiderter Scanner ermittelte von etwa 5.000 Geräten Informationen zur Betriebssystemversion. Die Filterung nach Systemen in den USA, Japan, Taiwan und Südkorea sowie nach neueren Release-Zweigen mit PHP 8.0.30 verengte die Liste auf 240 Ziele.
Ein automatisierter Runner führte dann die Exploit-Kette aus, installierte PHP-Webshells in öffentlich zugänglichen Verzeichnissen und prüfte, ob Root-Zugriff bestand. Dream ordnete dieser Phase 24 Server mit Root-Zugriff zu; eine anschließende interne Kompromittierung erhöhte die Gesamtzahl auf 25.
Laut der Rekonstruktion stürzte ein mit der US-Regierung verbundenes System am 23. Oktober, kurz nachdem dort Root-Zugriff erlangt worden war, ab und ging nicht wieder online. Der Angreifer nutzte ein anderes kompromittiertes System, um einen Reverse-SSH-Tunnel aufzubauen – eine Verbindung zurück in seine Infrastruktur, die einen dauerhaften Weg in das interne Netz bot. Ein dritter regierungsnaher Server – ein interner Firewall-Management-Server, der nur über diesen Tunnel erreichbar war – wurde am 24. Oktober kompromittiert.
Dream gab an, geborgene Artefakte hätten die Extraktion von Anmeldedaten und die Enumeration von Verzeichnissen bestätigt. Zu den berichteten Active-Directory-Aktivitäten gehörten das Entschlüsseln des Passworts eines LDAP-Dienstkontos, das Auflisten von Benutzern und das Ausprobieren organisationsbezogener Passwörter bei Benutzerkonten. Der Angreifer versuchte außerdem, Backdoor-Konten anzulegen. Ob diese Passwortversuche gültige Anmeldedaten lieferten oder das Anlegen der Konten gelang, bleibt unklar; das vollständige Ausmaß der Kompromittierung bleibt damit offen.
Dream berichtete von aktiven Webshells auf den übrigen 22 Firewalls mit Root-Zugriff und schätzte ein, dass der Tunnel in der Regierungsumgebung wahrscheinlich noch lief.
KI-Beteiligung und Zuordnung bleiben Einschätzungen
Zu den Hinweisen auf KI-Unterstützung gehörten das in der Angriffsinfrastruktur installierte Claude Code, FOFA-API-Schlüssel und die Plattform für offensive Sicherheit aiscan, die mit DeepSeek- und Kimi-Modellen konfiguriert war. Dream verwies außerdem auf Ähnlichkeiten in Struktur und Kommentierung bei fast 40 Skripten. Diese Beobachtungen legen eine KI-gestützte Entwicklung nahe; sie belegen nicht, welche Aktionen die KI ausführte.
Dream beschrieb den Akteur als möglicherweise mit China verbunden und verwies dabei auf die geografische Zielauswahl. Diese Zuordnung bleibt eine Einschätzung.
Unabhängig davon nahm der CISA-Katalog der bekannten ausgenutzten Schwachstellen am 26. Oktober beide PHP2Shell-Schwachstellen auf, mit einer Frist zur Umsetzung von Maßnahmen bis zum 29. Oktober. Beide Einträge verlangen vom Hersteller vorgegebene Gegenmaßnahmen und forensische Triage, die Bewertung der Exposition gegenüber dem Internet und – falls keine Gegenmaßnahmen verfügbar sind – die Einstellung der Nutzung. Der Katalog belegt die bekannte Ausnutzung der PHP-Schwachstellen; er bestätigt Dreams Darstellung dieser Operation nicht unabhängig.
