Hackers suspeitos ligados à China comprometeram uma rede afiliada ao governo dos EUA ao explorar vulnerabilidades do PHP recém-divulgadas, segundo a empresa de cibersegurança Dream. O ataque demonstra como múltiplas falhas de segurança podem ser combinadas para burlar defesas de rede e obter acesso a sistemas internos sensíveis.
Pesquisadores descobriram a intrusão em 25 de outubro de 2026, logo após duas vulnerabilidades críticas do PHP, conhecidas coletivamente como PHP2Shell, se tornarem públicas. As falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, têm cada uma uma pontuação de gravidade de 9,2 de 10 e podem potencialmente permitir que atacantes executem código malicioso sem autenticação.
Os atacantes teriam combinado o PHP2Shell com uma vulnerabilidade de escalonamento de privilégios do kernel Linux chamada Fragnesia, rastreada como CVE-2026-046300. Essa abordagem em duas etapas permitiu que eles obtivessem acesso em nível raiz a appliances de firewall vulneráveis.
Dream’s investigation revealed que a campanha começou com um reconhecimento extensivo. Os atacantes escanearam aproximadamente 19.000 firewalls voltados para a internet nos Estados Unidos, Japão, Taiwan e Coreia do Sul, identificando cerca de 240 dispositivos vulneráveis. Desses, 24 foram supostamente comprometidos.
A operação posteriormente alcançou um servidor interno de gerenciamento de firewall pertencente a uma organização não identificada afiliada ao governo dos EUA. Pesquisadores encontraram evidências de que os atacantes obtiveram credenciais do Active Directory, potencialmente possibilitando movimentos adicionais pela rede.
Atividades adicionais incluíam enumerar contas de usuário, tentar senhas contra múltiplas contas e tentar estabelecer mecanismos de acesso ocultos. Os atacantes também buscaram chaves de assinatura criptográficas, embora os investigadores não tenham confirmado se essas tentativas posteriores tiveram sucesso.
Apesar da intrusão bem-sucedida, explorar as vulnerabilidades era tecnicamente desafiador. A Dream relatou que, mesmo sob condições favoráveis, aproximadamente 10% das tentativas de exploração tiveram sucesso, em parte porque as falhas do PHP exigiam deslocamentos precisos de memória específicos para as versões de software alvo.
Pesquisadores também descobriram indícios de atividade assistida por inteligência artificial. O ambiente recuperado continha instalações do Claude Code e ferramentas de segurança configuradas para usar modelos chineses de IA, incluindo DeepSeek e Kimi. No entanto, as descobertas não estabelecem exatamente o quanto a IA contribuiu para os ataques.
Dream suspeita de envolvimento chinês com base em artefatos linguísticos, cronologia operacional e distribuição geográfica dos alvos. No entanto, a empresa não identificou um grupo específico de hackers, e o patrocínio estatal permanece sem confirmação.
O incidente ocorre em meio à ampla exploração do PHP2Shell. A empresa de varredura de internet Censys identificou aproximadamente 32,5 milhões de serviços PHP rodando versões potencialmente vulneráveis, incluindo 10,3 milhões nos Estados Unidos.