KI-gestützte PHP2Shell-Attacke kompromittiert 25 Server, darunter US-Regierungssysteme

Cybersecurity-Forscher von Dream haben eine ausgefeilte, KI-gestützte Cyberoperation offengelegt, die am 25. Oktober 2026 beobachtet wurde. Ein mutmaßlich aus China stammender Bedrohungsakteur nutzte die PHP2Shell-Schwachstellenkette, um 25 Server zu kompromittieren, darunter drei in einer Umgebung mit Bezug zur US-Regierung.

Was geschah

Der Angriff richtete sich gegen internetseitige Firewalls, die bestimmte Versionen der Software eines großen Anbieters ausführten, dessen Name jedoch nicht öffentlich bekannt gegeben wurde. Dream benachrichtigte die betroffene Organisation. Die Eindringung begann mit der Ausnutzung zweier unterschiedlicher Schwachstellen: PHP2Shell (CVE-2026-109618 und CVE-2026-109619) und Fragnesia (CVE-2026-46300). PHP2Shell ermöglicht Remote Code Execution ohne Authentifizierung mit einem CVSS-Score von 9,2, während Fragnesia eine lokale Privilegienausweitungsschwachstelle im Linux-Kernel mit einem Score von 7,8 ist.

Der Angreifer verwendete keinen öffentlichen Exploit-Code. Stattdessen setzte er einen maßgeschneiderten, nicht öffentlichen Build ein, der speziell für die angegriffene Firewall-Plattform entwickelt wurde. Diese benutzerdefinierte Implementierung zielte auf den Mechanismus session.upload_progress von PHP auf dem AppWeb-Verwaltungsserver der Firewall ab. Das Betriebssystem führte PHP 8.0.30 mit einem hohen Speicherlimit aus, was die für den Angriff erforderlichen Phasen der Speicherkorruption begünstigte. Nach Erlangung des Erstzugriffs wurde das Kernel-Exploit Fragnesia genutzt, um die Rechte auf Root-Ebene zu eskalieren.

Nachdem die Systeme kompromittiert waren, konzentrierte sich der Angreifer auf drei Server im Netzwerk mit Bezug zur US-Regierung. Er richtete einen persistenten Reverse-SSH-Tunnel von einer kompromittierten Firewall zu seiner Infrastruktur ein, was es ihm ermöglichte, einen internen Verwaltungsserver zu erreichen, der nicht direkt dem Internet ausgesetzt war. Anschließend bewegte sich der Angreifer lateral, um Active Directory ins Visier zu nehmen, versuchte, Passwörter von LDAP-Dienstkonto zu entschlüsseln, Benutzer aufzuzählen und Password Spraying durchzuführen. Es ist unklar, ob gültige Zugangsdaten erfolgreich extrahiert oder Backdoor-Konten erstellt wurden.

Wie es funktioniert

Die Operation verließ sich stark auf künstliche Intelligenz, um die Entwicklung und Ausführung des Angriffs zu unterstützen. Forensische Artefakte zeigten die Installation von Anthropic’s Claude Code innerhalb der Angriffsinfrastruktur. Zusätzlich nutzte der Angreifer API-Schlüssel für FOFA, eine Suchmaschine für internetverbundene Geräte, sowie eine KI-gestützte offensive Sicherheitsplattform namens aiscan. Diese Plattform war mit Large Language Models von DeepSeek und Kimi konfiguriert. Die Konsistenz in der Code-Struktur und im Kommentierungsstil über fast 40 Skripte hinweg deutet darauf hin, dass KI-Tools zur Generierung und Verfeinerung des Exploit-Codes verwendet wurden.

Der Angriff folgte einem systematischen Trichterprinzip. Zunächst identifizierte der Angreifer mit FOFA etwa 19.000 internetseitige Firewalls mit exponierten Verwaltungsschnittstellen. Ein benutzerdefinierter Versions-Scanner prüfte diese Geräte, wobei etwa 5.000 mit Versionsinformationen antworteten. Der Angreifer filterte diese Liste nach geografischen Kriterien, konzentrierte sich auf die USA, Japan, Taiwan und Südkorea und schränkte sie weiter auf Systeme ein, die PHP 8.0.30 ausführen. Dieser Prozess ergab 240 hochwertige Ziele.

Ein automatisierter Batch-Runner führte anschließend die PHP2Shell-Fragnesia-Exploit-Kette gegen diese 240 Ziele aus. Das Skript pflanzte eine PHP-Webshell, überprüfte den Root-Zugriff und protokollierte erfolgreiche Kompromittierungen. Diese Automatisierung ermöglichte es dem Angreifer, 24 Server effizient zu kompromittieren, bevor er manuell zu den spezifischen Zielen mit Regierungsbezug wechselte, um tiefer einzudringen.

Wichtige Details

• Der Angriff kombinierte PHP2Shell (CVE-2026-109618/109619) für Remote Code Execution und Fragnesia (CVE-2026-46300) für die Privilegienausweitung.
• KI-Tools wie Claude Code, aiscan, DeepSeek und Kimi wurden zur Entwicklung und Verwaltung der benutzerdefinierten Exploit-Skripte eingesetzt.
• Etwa 19.000 Firewalls wurden gescannt, was zu 25 kompromittierten Servern in den USA, Japan, Taiwan und Südkorea führte.
• Der Angreifer richtete einen persistenten Reverse-SSH-Tunnel ein, um auf einen internen Firewall-Verwaltungsserver zuzugreifen, der nicht direkt dem Internet ausgesetzt war.
• Aktivitäten nach der Kompromittierung umfassten die Aufzählung von Active Directory, Versuche zur Entschlüsselung von LDAP-Passwörtern und Password Spraying.
• Das benutzerdefinierte Exploit zielte auf den Mechanismus session.upload_progress von PHP 8.0.30 ab und nutzte hohe Speicherlimits für die Speicherkorruption aus.

Warum es wichtig ist

Dieser Vorfall unterstreicht die wachsende Rolle von KI bei der Senkung der Einstiegshürden für die Entwicklung komplexer Exploits. Obwohl PHP2Shell als schwer ausnutzbar in freier Wildbahn galt, aufgrund der Notwendigkeit spezifischer Memory Offsets aus libphp.so, ermöglichte die KI-Unterstützung dem Angreifer, eine zuverlässige, maßgeschneiderte Waffenisierung für einen bestimmten Build zu erstellen. Dies stellt die Annahme infrage, dass obskure oder schwer ausnutzbare Schwachstellen durch Sicherheit durch Unklarheit oder Komplexität ausreichend Schutz bieten.

Für Software-Ingenieure und Security-Leads verdeutlicht die Kompromittierung das Risiko exponierter Verwaltungsschnittstellen. Selbst wenn ein Gerät ein Perimetersicherheitstool wie eine Firewall ist, kann seine Verwaltungsebene zum Einstiegspunkt in kritische Identitätsinfrastrukturen wie Active Directory werden. Die Fähigkeit des Angreifers, von einer kompromittierten Firewall über einen Reverse-Tunnel zu internen Servern zu pivotieren, zeigt, dass Perimeterverteidigungen allein ohne robuste interne Segmentierung und Überwachung nicht ausreichen.

Was Sie tun können

• Prüfen Sie alle internetseitigen Verwaltungsschnittstellen und stellen Sie sicher, dass sie nicht dem öffentlichen Internet ausgesetzt sind, es sei denn, dies ist absolut notwendig.
• Stellen Sie sicher, dass Ihre Firewall- und Server-Betriebssysteme nicht PHP 8.0.30 oder andere Versionen ausführen, die anfällig für CVE-2026-109618 und CVE-2026-109619 sind.
• Installieren Sie Patches für die Fragnesia-Kernel-Schwachstelle (CVE-2026-46300), um lokale Privilegienausweitungen zu verhindern, falls ein Erstzugriff erfolgt.
• Überwachen Sie ungewöhnliche ausgehende SSH-Verbindungen, insbesondere Reverse-Tunnel, die auf einen kompromittierten Host hinweisen könnten, der mit externer Infrastruktur kommuniziert.
• Prüfen Sie Active-Directory-Protokolle auf Anzeichen von Versuchen zur Entschlüsselung von LDAP-Dienstkontopasswörtern, Benutzeraufzählung oder Password-Spraying-Angriffen.
• Implementieren Sie strenge Netzwerksegmentierung, um zu verhindern, dass kompromittierte Perimetergeräte auf interne Verwaltungsserver und Identitätssysteme zugreifen können.