Vermoedelijke aan China gelinkte hackers hebben een netwerk geïntroduceerd aan de Amerikaanse overheid gecompromitteerd door gebruik te maken van nieuw onthulde PHP-kwetsbaarheden, aldus cybersecuritybedrijf Dream. De aanval toont aan hoe meerdere beveiligingslekken gecombineerd kunnen worden om netwerkverdediging te omzeilen en toegang te krijgen tot gevoelige interne systemen.
Onderzoekers ontdekten de inbraak op 25 oktober 2026, kort nadat twee kritieke PHP-kwetsbaarheden, gezamenlijk bekend als PHP2Shell, openbaar werden gemaakt. De fouten, getraceerd als CVE-2026-109618 en CVE-2026-109619, hebben elk een ernstwaardigheidsscore van 9,2 uit 10 en kunnen aanvallers mogelijk in staat stellen kwaadaardige code zonder authenticatie uit te voeren.
De aanvallers zouden PHP2Shell hebben gecombineerd met een Linux-kernel privilege-escalatie-kwetsbaarheid genaamd Fragnesia, getraceerd als CVE-2026-046300. Deze tweestapsaanpak stelde hen in staat om root-niveau toegang te krijgen tot kwetsbare firewall-appliances.
Dream’s investigation revealed dat de campagne begon met uitgebreide verkenning. De aanvallers scanden ongeveer 19.000 internetgeconcentreerde firewalls in de Verenigde Staten, Japan, Taiwan en Zuid-Korea, en identificeerden ongeveer 240 kwetsbare apparaten. Van die apparaten zouden er 24 zijn gecompromitteerd.
De operatie bereikte vervolgens een interne firewallbeheerserver van een niet-geïdentificeerde organisatie die aan de Amerikaanse overheid is gelieerd. Onderzoekers vonden bewijs dat de aanvallers Active Directory-inloggegevens verkregen, wat mogelijk verdere beweging door het netwerk mogelijk maakte.
Aanvullende activiteiten waren het opsommen van gebruikersaccounts, het proberen van wachtwoorden tegen meerdere accounts en het proberen van verborgen toegangsmechanismen op te zetten. De aanvallers zochten ook cryptografische ondertekeningssleutels, hoewel onderzoekers niet konden bevestigen of deze latere pogingen succesvol waren.
Ondanks de succesvolle inbraak was het exploiteren van de kwetsbaarheden technisch uitdagend. Dream meldde dat zelfs onder gunstige omstandigheden ongeveer 10% van de exploitatiepogingen slaagde, deels omdat de PHP-fouten precieze geheugen-offsets vereisten die specifiek waren voor de beoogde softwareversies.
Onderzoekers ontdekten ook aanwijzingen voor door kunstmatige intelligentie ondersteunde activiteit. De teruggevonden omgeving bevatte installaties van Claude Code en beveiligingstools die waren geconfigureerd om Chinese AI-modellen te gebruiken, waaronder DeepSeek en Kimi. De bevindingen stellen echter niet precies vast hoe uitgebreid AI heeft bijgedragen aan de aanvallen.
Dream vermoedt Chinese betrokkenheid op basis van taalartefacten, operationele timing en de geografische verspreiding van de doelwitten. Desondanks heeft het bedrijf geen specifieke hackergroep geïdentificeerd en is staatssponsoring nog niet bevestigd.
Het incident vindt plaats te midden van grootschalig misbruik van PHP2Shell. Internetscanbedrijf Censys identificeerde ongeveer 32,5 miljoen PHP-diensten met mogelijk kwetsbare versies, waaronder 10,3 miljoen in de Verenigde Staten.