Исследователи Dream сообщают, что связанный с Китаем злоумышленник использует уязвимости PHP2Shell для получения root-доступа к межсетевым экранам и развертывания веб-оболочек для постоянного доступа. Хакеры объединили эксплойт для двух уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619), с другим эксплойтом для Fragnesia, уязвимости повышения привилегий в ядре Linux (CVE-2026-46300). В рамках зафиксированных атак хакеры использовали китайскую поисковую систему FOFA для идентификации 19 000 межсетевых экранов от конкретного производителя и 23-24 октября успешно взломали 25 из них. После сканирования хакеры сначала идентифицировали серверы в США, Японии, Тайване и Южной Корее, а затем серверы, работающие на более новых версиях PHP, что дало им пул из 240 потенциальных целей. Затем, используя автоматизированный инструмент, злоумышленники атаковали межсетевые экраны с помощью полной цепочки эксплойтов PHP2Shell-Fragnesia, установив веб-оболочку с правами root на PHP на 24 устройствах для обеспечения постоянного доступа. Хотя на 22 межсетевых экранах никакой активности после взлома не наблюдалось, хакеры продвинулись дальше на двух серверах, принадлежащих организации, связанной с правительством США. Первый сервер с правами root вышел из строя вскоре после взлома, 23 октября. Злоумышленник запустил вторую волну атак 24 октября, которая оказалась успешной. Для сохранения доступа к межсетевому экрану злоумышленники развернули обратный SSH-туннель, а затем использовали его для атаки на внутренний сервер управления межсетевым экраном с помощью цепочки PHP2Shell-Fragnesia, получив доступ к конфигурациям, учетным данным и настройкам всех межсетевых экранов, которыми управляла организация. Затем хакеры использовали сервер управления для доступа и расшифровки пароля учетной записи службы LDAP, идентификации пользователей и групп в домене, проведения брута и создания бэкдор-учетных записей Active Directory, а также для выполнения других задач. Dream не связывает эту деятельность с конкретным субъектом угроз, но считает, что она является частью китайской APT-операции, учтивая таргетирование атак.