Според ново проучване, подпомогнато от изкуствен интелект на компанията за киберсигурност Dream, хакери, за които се подозира, че са свързани с Китай са се възползвали от критичните уязвимости в PHP, за да проникнат в мрежа, свързана с правителството на САЩ и да атакуват нейните вътрешни системи. Нарушението следва разкритието от миналата седмица на две критични уязвимости в PHP, всяка от които е оценена със степен на сериозност 9,2 и които заедно са наречени PHP2Shell, което предизвика широкомащабни усилия за поправяне и експлоатация.
Разкрита на 25 октомври, атаката срещу американското правителство е първият документиран случай, в който PHP2Shell (CVE-2026-109618 и CVE-2006109619) е използвана за пълно проникване в правителствена мрежа.Dream съобщи, че нападателите са комбинирали 2 уязвимости на PHP2Shell и уязвимост в ядрото на Linux, наречена „Fragnesia“ (CVE-2026046300), за да получат root достъп до уязвими защитни стени без удостоверяване. Кфир Флайшер, вицепрезидент по продукти и киберизследвания в Dream, заяви пред Cybernews, че атаката би била трудна за експлоатиране, ако не е била комбинирана с друга уязвимост, което показва, че експлоатирането на PHP е трудно за постигане. Само 1 от 10 подобни опита е успешен, дори при най-благоприятните възможни условия – което показва, че това е наистина труден за изпълнение експлойт, но все пак, това е било достатъчно, за да се проникне в американските правителствени мрежи.
Изследователите от Dream възстановиха операцията, използвайки собствената си вътрешна система с изкуствен интелект „Hero“, след като възстановиха логовете на атакуващите, инструментите за експлоатация и приблизително 40 скрипта. Според доклада на Dream атакуващите са идентифицирали 19 000 защитни стени, свързани с интернет, като са стеснили целта си до 240 уязвими устройства в САЩ, Япония, Тайван и Южна Корея.
Съобщава се, че нападателите успешно са компрометирали 24 защитни стени, преди да насочат атаката си към вътрешен сървър за управление, принадлежащ на неназована организация, свързана с правителството на САЩ.
Dream посочи, че нападателите са поддържали достъп, хакнали са главния сървър за управление на защитните стени и са откраднали идентификационни данни за Active Directory, което би им позволило да получат достъп до по-голяма част от мрежата.1/ Three days after PHP2Shell went public, a suspected Chinese-nexus campaign breached a US government-affiliated network.
Using our autonomous research tool, Dream researchers reconstructed the intrusion from attacker logs.
След това те са изготвили списък с потребителски акаунти и групи, пробвали са често използвани пароли за множество акаунти и са се опитали да създадат тайни акаунти за достъп и да откраднат ключове за подписване. Изследователите обаче не са могли да установят дали тези допълнителни атаки са били успешни. Dream не е приписала тази дейност на конкретен извършител, но заяви, че смята, че кампанията е част от операция, свързана с Китай поради езиковите подсказки, времевите отметки и географското насочване.
Компанията за сигурност също така идентифицира потенциално участие на изкуствен интелект в кампанията, включително инсталации на Claude Code и инструменти за офанзивна сигурност, конфигурирани с китайските AI модели DeepSeek и Kimi.
Тези констатации идват на фона на нарастващите опасения относно широко разпространената експлоатация на PHP2Shell. Cybernews съобщи във вторник, че нови данни разкриват, че 32,5 милиона PHP услуги все още използват уязвими версии, включително 10,3 милиона в САЩ.