Предположительно китайская группировка получила root-доступ к 25 серверам через уязвимость PHP2Shell, включая межсетевые экраны Palo Alto Networks у организаций, связанных с правительством США. Для российских ИБ-команд это не очередная история о «критической CVE»: атака началась с одного неаутентифицированного HTTPS-запроса к внешнему интерфейсу управления, а менее чем за 15 минут дошла до постоянного root-доступа и попыток захвата Active Directory.
Как сообщает The Register, исследователи из израильской компании Dream зафиксировали первые компрометации 23 октября. Под удар попали организации в США, Японии, Тайване и Южной Корее. Отдельно атакующие выбирали устройства, связанные с американскими госструктурами: после взлома одного из таких firewall они проложили туннель во внутреннюю сеть, скомпрометировали ещё один сервер тем же методом и начали кампанию против доменной инфраструктуры.
Не публичный PoC, а цепочка под конкретную платформу
В основе атаки лежит связка CVE-2026-109618 и CVE-2026-109619, известная как PHP2Shell. Обе уязвимости получили оценку CVSS 9,2: они позволяют выполнять код на уязвимом PHP-сервере без учётных данных. После появления информации о проблеме на GitHub быстро возникли сотни демонстрационных репозиториев, но образец, найденный Dream, не повторял известные публичные эксплойты. По оценке исследователей, его разработали отдельно и адаптировали именно под атакуемые версии PAN-OS.
Целями стали PAN-OS 12.1 и 12.2, где используется PHP 8.0.30 с увеличенным лимитом памяти. Этот параметр оказался важен: эксплойт несколько раз намеренно исчерпывает память процесса и использует последствия повреждения памяти. Сначала вредоносный код отправляет специально сформированные multipart POST-запросы, добиваясь предсказуемого размещения данных. Затем второй запрос помогает раскрыть адрес библиотеки libphp.so через чтение за границами выделенной области. На финальном этапе атакующие создают устаревшую ссылку и получают возможность запускать команды от имени пользователя nobody.
На этом проникновение не заканчивалось. Для повышения привилегий до root злоумышленники применяли Fragnesia — CVE-2026-46300 в подсистеме XFRM ESP-in-TCP ядра Linux. Это локальная уязвимость повышения привилегий высокой опасности, которую CISA уже внесла в каталог Known Exploited Vulnerabilities. Получив root, операторы размещали веб-шелл в публично доступном каталоге firewall. По данным Dream, вся цепочка — от первого HTTPS-подключения до закреплённого root-веб-шелла — занимала менее 15 минут.
Первый взломанный firewall у американской организации вскоре перестал отвечать: исследователи связывают это примерно с 900 МБ трафика, который создал эксплойт. Устройство осталось недоступным, несмотря на 240 автоматических проверок за два часа. Уже 24 октября атакующие успешно скомпрометировали второй firewall. Dream работала с Palo Alto Networks при расследовании, а специалисты Unit 42 независимо подтвердили инструменты атакующих и выводы исследователей.
После firewall начинается атака на домен
Внутри сети злоумышленники развернули около 40 собственных скриптов для закрепления и сбора данных. Root-доступ к устройству дал им ключ для расшифровки пароля сервисной LDAP-учётной записи; этот пароль они зашили в последующие скрипты. Дальше последовали LDAP-запросы для перечисления пользователей и групп домена, сбор учётных данных и password spraying по всем пользовательским аккаунтам. Исследователи также увидели попытки создать резервные учётные записи Active Directory и извлечь ключи подписи SAML.
У Dream нет артефактов, которые позволили бы подтвердить результат этих действий: сведения об удачных паролях, созданных бэкдорах или извлечённых SAML-ключах остались на локальной файловой системе управляющего сервера и не попали в доступные исследователям материалы. Но сам факт попытки важнее формальной галочки в отчёте. Скомпрометированный периметровый appliance в такой схеме — не конечная цель, а удобный плацдарм для движения к идентификационной инфраструктуре, где ущерб обычно становится заметно дороже замены одного firewall.
Расследование также обнаружило признаки применения ИИ-инструментов. На инфраструктуре атакующих нашли Claude Code, платформу offensive security aiscan с настроенными китайскими моделями DeepSeek и Kimi, а также API-ключи сервиса FOFA для поиска интернет-активов. FOFA похож на Shodan и, по данным Dream, помог операторам составить список примерно из 19 тыс. доступных из интернета firewall Palo Alto Networks по всему миру. Исследователи подчёркивают: это не автономная атака, а работа операторов, которые ускорили отдельные этапы привычным набором ИИ-инструментов.
Для разработчиков и владельцев инфраструктуры урок у уязвимости PHP2Shell предельно прикладной: интерфейс управления не должен быть доступен из интернета «на всякий случай», а патч критической ошибки нельзя откладывать до ближайшего окна изменений. После обновления стоит искать не только следы эксплуатации PHP2Shell, но и признаки туннелей, веб-шеллов, LDAP-разведки, массовых попыток входа и изменений в AD. Dream полагает, что туннель в сеть американской организации может работать до сих пор, а список из 19 тыс. устройств оставляет атакующим широкий запас целей. Детали расследования опубликованы в материале .
