Secondo la società di cybersecurity Dream, presunti hacker legati alla Cina hanno compromesso una rete affiliata al governo statunitense sfruttando vulnerabilità PHP appena rivelate. L’attacco dimostra come si possano combinare molteplici falle di sicurezza per bypassare le difese di rete e accedere a sistemi interni sensibili.
I ricercatori hanno scoperto l’intrusione il 25 ottobre 2026, poco dopo che due vulnerabilità critiche di PHP, conosciute collettivamente come PHP2Shell, sono diventate pubbliche. I difetti, tracciati come CVE-2026-109618 e CVE-2026-109619, hanno ciascuno un punteggio di gravità di 9,2 su 10 e possono potenzialmente permettere agli attaccanti di eseguire codice dannoso senza autenticazione.
Gli attaccanti avrebbero combinato PHP2Shell con una vulnerabilità di escalation dei privilegi del kernel Linux chiamata Fragnesia, tracciata come CVE-2026-046300. Questo approccio a due fasi ha permesso loro di ottenere accesso a livello radice a appliance firewall vulnerabili.
Dream’s investigation revealed che la campagna iniziò con un’ampia ricognizione. Gli aggressori hanno scansionato circa 19.000 firewall rivolti a internet negli Stati Uniti, Giappone, Taiwan e Corea del Sud, identificando circa 240 dispositivi vulnerabili. Di questi, 24 sarebbero stati compromessi.
L’operazione ha successivamente raggiunto un server interno di gestione firewall appartenente a un’organizzazione non identificata affiliata al governo degli Stati Uniti. I ricercatori hanno trovato prove che gli attaccanti hanno ottenuto credenziali di Active Directory, potenzialmente permettendo ulteriori movimenti attraverso la rete.
Attività aggiuntive includevano l’enumerazione degli account utente, il tentativo di password su più account e il tentativo di stabilire meccanismi di accesso nascosti. Gli attaccanti cercarono anche chiavi di firma crittografiche, anche se gli investigatori non poterono confermare se questi tentativi successivi abbiano avuto successo.
Nonostante l’intrusione riuscita, sfruttare le vulnerabilità era tecnicamente difficile. Dream ha riferito che anche in condizioni favorevoli, circa il 10% dei tentativi di sfruttamento ha avuto successo, in parte perché i difetti PHP richiedevano spostamenti di memoria precisi specifici per le versioni software target.
I ricercatori hanno inoltre scoperto indicazioni di attività assistite dall’intelligenza artificiale. L’ambiente recuperato conteneva installazioni di Claude Code e strumenti di sicurezza configurati per utilizzare modelli di IA cinesi, tra cui DeepSeek e Kimi. Tuttavia, i risultati non stabiliscono esattamente quanto l’IA abbia contribuito agli attacchi.
Dream sospetta un coinvolgimento cinese basandosi su artefatti linguistici, tempi operativi e distribuzione geografica degli obiettivi. Tuttavia, l’azienda non ha identificato un gruppo di hacker specifico e il sostegno statale non è stato confermato.
L’incidente avviene in un contesto di ampio sfruttamento di PHP2Shell. La società di scansione Internet Censys ha identificato circa 32,5 milioni di servizi PHP che eseguono versioni potenzialmente vulnerabili, inclusi 10,3 milioni negli Stati Uniti.