Dream: Angripare använde PHP2Shell för att ta sig in på 25 servrar

Cybersäkerhetsföretaget Dream uppger att angripare tog sig in på 25 servrar genom att kombinera PHP2Shell med en sårbarhet för behörighetshöjning i Linux-kärnan. Vissa servrar ska ha tillhört organisationer med koppling till USA:s regering. Enligt TechRadar riktades angreppen mot Palo Alto Networks-brandväggar med äldre, sårbara versioner av PAN-OS.

Enligt Dream började angreppen den 23 oktober 2026 med sonderingar av organisationer i USA, Japan, Taiwan och Sydkorea. Angriparna fokuserade sedan på brandväggarna och kombinerade PHP2Shell med Fragnesia, en sårbarhet som låter obehöriga användare få rootåtkomst. Fragnesia spåras som CVE-2026-46300.

Dream uppger att angriparna körde omkring 40 specialskrivna skript efter intrånget. Företaget säger också att angriparna inom några timmar efter att ha tagit sig in i en brandvägg med koppling till USA:s regering hade gått vidare in i ett internt nätverk, tagit sig in på en tredje server med PHP2Shell och inlett en Active Directory-attack. Enligt Dream tog kedjan från en oautentiserad HTTPS-anslutning till ett beständigt root-webbskal mindre än 15 minuter. Forskarna tror att angriparna fortfarande kan ha åtkomst.

Dream kunde inte fastställa angriparnas slutmål utifrån de återfunna spåren. Företaget hittade Claude Code, AIscan konfigurerat med modellerna DeepSeek och Kimi samt API-nycklar till FOFA. Dream tror att angriparna använde AI-verktyg, men att kampanjen inte var helt automatiserad. Enligt företaget användes FOFA för att hitta omkring 19 000 internetanslutna Palo Alto Networks-brandväggar som möjliga mål.