Un attaccante ha ottenuto l'accesso root a 25 server che eseguivano il software firewall di un fornitore, tre dei quali in un ambiente affiliato al governo statunitense, secondo i risultati della società di cybersecurity Dream riportati da The Hacker News. L'operazione ha combinato vulnerabilità PHP con un exploit del kernel Linux, per poi usare un firewall compromesso per raggiungere sistemi interni e prendere di mira Active Directory.
Il rapporto del 28 ottobre descrive l'attività osservata il 25 ottobre 2026, con artefatti recuperati che collocano le singole compromissioni al 23 e al 24 ottobre. Dream ha affermato di aver notificato il fornitore del firewall, il cui nome non è stato reso noto nel rapporto.
L'attacco ha collegato PHP2Shell — CVE-2026-109618 e CVE-2026-109619, che possono consentire l'esecuzione di codice da remoto senza autenticazione — a Fragnesia, una vulnerabilità locale di escalation dei privilegi tracciata come CVE-2026-46300. Quest'ultima ha consentito all'attaccante di elevare l'accesso a root, conferendogli il controllo amministrativo sui sistemi interessati.
Secondo Dream, l'implementazione recuperata di PHP2Shell era una build personalizzata e non pubblica, adattata alla piattaforma firewall. Prendeva di mira il meccanismo session.upload_progress di PHP sul server di gestione appweb del firewall. Il software preso di mira usava PHP 8.0.30 con un limite di memoria elevato che consentiva le fasi di corruzione della memoria dell'exploit. Queste condizioni contano: i risultati non stabiliscono che ogni installazione PHP esposta a Internet fosse vulnerabile a questa implementazione.
Da firewall esposti ad account interni
La ricostruzione di Dream descrive un processo di selezione iniziato con circa 19.000 firewall esposti a Internet le cui interfacce di gestione erano esposte. Uno scanner personalizzato ha ricavato informazioni sulla versione del sistema operativo da circa 5.000 dispositivi. Il filtro per i sistemi negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud, nonché per i rami di rilascio più recenti che eseguivano PHP 8.0.30, ha ridotto l'elenco a 240 obiettivi.
Un runner automatizzato ha quindi eseguito la catena di exploit, installato web shell PHP in directory accessibili pubblicamente e verificato la presenza dell'accesso root. Dream ha attribuito 24 server con accesso root a quella fase; una successiva compromissione interna ha portato il totale a 25.
Secondo la ricostruzione, un sistema affiliato al governo è andato in crash poco dopo che ne era stato ottenuto l'accesso root, il 23 ottobre, e non è tornato online. L'attaccante ha usato un altro sistema compromesso per stabilire un tunnel SSH inverso, una connessione verso la propria infrastruttura che forniva una via persistente nella rete interna. Un terzo server affiliato al governo, un server interno di gestione del firewall raggiungibile solo attraverso quel tunnel, è stato compromesso il 24 ottobre.
Dream ha dichiarato che gli artefatti recuperati hanno confermato l'estrazione di credenziali e l'enumerazione delle directory. L'attività segnalata relativa ad Active Directory comprendeva la decifratura della password di un account di servizio LDAP, l'elenco degli utenti e tentativi di password a tema organizzativo su vari account utente. L'attaccante ha anche tentato di creare account backdoor. Non è chiaro se quei tentativi di password abbiano prodotto credenziali valide o se la creazione degli account sia riuscita; resta quindi irrisolta la portata completa della compromissione.
Dream ha segnalato web shell attive sugli altri 22 firewall con accesso root e ha valutato che il tunnel dell'ambiente governativo fosse probabilmente ancora in funzione.
Coinvolgimento dell'IA e attribuzione restano valutazioni
Gli indizi che suggerivano un supporto dell'IA includevano Claude Code installato nell'infrastruttura dell'attacco, chiavi API FOFA e la piattaforma di sicurezza offensiva aiscan configurata con i modelli DeepSeek e Kimi. Dream ha anche citato somiglianze nella struttura e nei commenti in quasi 40 script. Queste osservazioni suggeriscono uno sviluppo supportato dall'IA; non stabiliscono quali azioni abbia compiuto l'IA.
Dream ha descritto l'attore come potenzialmente collegato alla Cina, citando il targeting geografico. Tale attribuzione resta una valutazione.
Separatamente, il catalogo CISA delle vulnerabilità note come sfruttate ha aggiunto entrambe le vulnerabilità PHP2Shell il 26 ottobre, con scadenza per l'intervento il 29 ottobre. Entrambe le voci richiedono mitigazioni indicate dal fornitore e triage forense, la valutazione dell'esposizione a Internet e l'interruzione dell'uso qualora le mitigazioni non siano disponibili. Il catalogo attesta lo sfruttamento noto delle vulnerabilità PHP; non conferma in modo indipendente il resoconto di Dream su questa operazione.
