Mutmaßliche China-nahe Hacker haben ein mit der US-Regierung verbundenes Netzwerk kompromittiert, indem sie neu offengelegte PHP-Sicherheitslücken ausnutzen, so das Cybersicherheitsunternehmen Dream. Der Angriff zeigt, wie mehrere Sicherheitslücken kombiniert werden können, um Netzwerkverteidigungen zu umgehen und Zugang zu sensiblen internen Systemen zu erhalten.
Forscher entdeckten den Einbruch am 25. Oktober 2026, kurz nachdem zwei kritische PHP-Schwachstellen, die zusammen als PHP2Shell bekannt sind, öffentlich wurden. Die Fehler, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden, haben jeweils einen Schweregrad von 9,2 von 10 und können es Angreifern ermöglichen, bösartigen Code ohne Authentifizierung auszuführen.
Die Angreifer kombinierten Berichten zufolge PHP2Shell mit einer Linux-Kernel-Eskalationsschwachstelle namens Fragnesia, die als CVE-2026-046300 verfolgt wird. Dieser zweistufige Ansatz ermöglichte es ihnen, Root-Level-Zugriff auf verwundbare Firewall-Appliances zu erhalten.
Dream’s investigation revealed dass die Kampagne mit umfangreicher Aufklärung begann. Die Angreifer scannten etwa 19.000 internetnahe Firewalls in den Vereinigten Staaten, Japan, Taiwan und Südkorea und identifizierten rund 240 verwundbare Geräte. Davon wurden Berichten zufolge 24 kompromittiert.
Die Operation erreichte anschließend einen internen Firewall-Management-Server, der einer nicht identifizierten, mit der US-Regierung verbundenen Organisation gehörte. Forscher fanden Hinweise darauf, dass die Angreifer Active Directory-Zugangsdaten erhielten, was möglicherweise weitere Bewegungen im Netzwerk ermöglichte.
Weitere Aktivitäten umfassten das Aufzählen von Benutzerkonten, das Versuchen von Passwörtern gegen mehrere Konten und die Einrichtung versteckter Zugriffsmechanismen. Die Angreifer suchten auch kryptografische Signierungsschlüssel, obwohl die Ermittler nicht bestätigen konnten, ob diese späteren Versuche erfolgreich waren.
Trotz des erfolgreichen Eindringens war die Ausnutzung der Schwachstellen technisch herausfordernd. Dream berichtete, dass selbst unter günstigen Bedingungen etwa 10 % der Ausnutzungsversuche erfolgreich waren, teilweise weil die PHP-Schwächen präzise Speicherverschiebungen erforderten, die spezifisch für die angestrebten Softwareversionen waren.
Die Forscher entdeckten auch Hinweise auf von künstlicher Intelligenz unterstützte Aktivitäten. Die wiederhergestellte Umgebung enthielt Installationen von Claude Code und Sicherheitstools, die mit chinesischen KI-Modellen konfiguriert waren, darunter DeepSeek und Kimi. Die Ergebnisse stellen jedoch nicht genau fest, wie umfassend KI zu den Angriffen beitrug.
Dream vermutet eine chinesische Beteiligung aufgrund von Sprachartefakten, dem Einsatzzeitpunkt und der geografischen Verteilung der Ziele. Dennoch hat das Unternehmen keine spezifische Hackergruppe identifiziert, und staatliche Unterstützung bleibt unbestätigt.
Der Vorfall ereignet sich vor dem Hintergrund einer weit verbreiteten Ausnutzung von PHP2Shell. Das Internet-Scan-Unternehmen Censys identifizierte etwa 32,5 Millionen PHP-Dienste mit potenziell verwundbaren Versionen, darunter 10,3 Millionen in den Vereinigten Staaten.