Pesquisadores de cibersegurança revelaram detalhes do que parece ser um ataque orquestrado com auxílio de inteligência artificial (IA), atribuído a um suposto grupo de ameaça com vínculos com a China. O grupo teria explorado vulnerabilidades do PHP2Shell para invadir sistemas expostos.
A atividade, observada em 25 de outubro de 2026, envolveu um atacante que combinou o PHP2Shell com um exploit de escalada de privilégios no kernel para obter acesso root (privilégio máximo de administrador) em 25 servidores, incluindo três sistemas em um ambiente ligado ao governo dos Estados Unidos.
“Os dispositivos afetados executam versões específicas do software de firewall de um grande fornecedor”, disse a empresa de cibersegurança Dream em comunicado. “O atacante então lançou ataques contra o Active Directory. Os artefatos recuperados confirmam a extração de credenciais e a enumeração de diretórios.”
O nome do fornecedor afetado não foi divulgado, mas a empresa israelense afirmou que notificou a entidade. A cadeia de ataque reúne, essencialmente, dois conjuntos de vulnerabilidades que afetam o PHP e o kernel do Linux:
- PHP2Shell, um par de falhas identificadas como CVE-2026-109618 e CVE-2026-109619 (CVE, sigla de Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades conhecidas), com pontuação CVSS de 9,2 (escala de gravidade de vulnerabilidades), que podem permitir a execução remota de código sem autenticação.
- Fragnesia, uma vulnerabilidade de escalada local de privilégios no kernel do Linux, identificada como CVE-2026-46300, com pontuação CVSS de 7,8.
“A implementação que recuperamos é uma versão personalizada e não pública, e não uma cópia de qualquer exploit público conhecido para o PHP2Shell”, explicaram os pesquisadores da Dream. “Ela segue o mesmo conceito subjacente, mas parece ter sido desenvolvida de forma independente e adaptada especificamente para a plataforma de firewall alvo.”
“A vulnerabilidade atinge o mecanismo session.upload_progress do PHP no servidor de gerenciamento appweb do firewall. O sistema operacional do firewall usa o PHP 8.0.30 com um limite de memória elevado, o que possibilita as etapas de corrupção de memória do ataque.”
A adaptação personalizada da cadeia de exploração PHP2Shell, combinada com a CVE-2026-46300, teria levado ao acesso root em 25 servidores nos Estados Unidos, Japão, Taiwan e Coreia do Sul.
Artefatos descobertos pela Dream indicam que a operação começou com o desenvolvimento do exploit em um ambiente de laboratório, antes de o atacante obter acesso persistente ao domínio interno do Active Directory de uma organização do governo dos EUA.
“Depois de obter acesso root, o atacante concentrou-se em três servidores específicos em um ambiente ligado ao governo dos Estados Unidos”, observou a empresa.
Os indícios de ferramentas assistidas por IA decorrem de evidências que apontam para a instalação do Claude Code, da Anthropic, na infraestrutura do ataque. Também foi identificada a presença de chaves de API do FOFA, um mecanismo de busca de dispositivos conectados à internet, e de uma plataforma ofensiva de segurança baseada em IA chamada aiscan, configurada com modelos de linguagem de grande porte (LLMs, sigla de large language models) da DeepSeek e da Kimi.
Além disso, a estrutura do código, o estilo dos comentários e a consistência entre quase 40 scripts sugerem o uso de IA para auxiliar o processo de desenvolvimento. Segundo a Dream, toda a operação se desenrola da seguinte forma:
- O atacante usa o FOFA para identificar cerca de 19.000 firewalls voltados para a internet, com interfaces de gerenciamento expostas, em todo o mundo.
- Um scanner de versão personalizado é executado para determinar quais desses dispositivos estão online e qual versão do sistema operacional (SO) utilizam. Cerca de 5.000 dispositivos respondem com informações de versão.
- O atacante filtra os servidores localizados nos EUA, Japão, Taiwan e Coreia do Sul e, em seguida, limita o escopo aos sistemas que pertencem a ramos de lançamento mais recentes e executam o PHP 8.0.30. Essa etapa resulta em 240 alvos.
- A lista de alvos é alimentada em um executor automatizado em lote, que explora a cadeia PHP2Shell-Fragnesia, instala uma web shell em PHP em um diretório acessível publicamente no firewall, verifica o acesso root e registra o nome de host e o IP do alvo em um arquivo CSV (valores separados por vírgula). Essa etapa permite ao atacante obter acesso root a 24 servidores.
- Dois dos sistemas comprometidos com sucesso são identificados como pertencentes a uma organização ligada ao governo dos EUA. Um deles trava pouco depois de ser invadido, em 23 de outubro de 2026, às 18h14 UTC (Tempo Universal Coordenado), e nunca volta a ficar online. O atacante realiza uma campanha dedicada para obter acesso root a um segundo sistema em 24 de outubro de 2026, às 10h09 UTC.
- O atacante explora o segundo sistema para criar um canal persistente na rede interna por meio de um túnel SSH reverso (Secure Shell), que conecta o firewall comprometido à infraestrutura do operador. Às 11h35 UTC, um terceiro servidor governamental é comprometido com o mesmo método, com a diferença de que se tratava de um servidor de gerenciamento de firewall interno, acessível apenas pelo túnel. O total de servidores com acesso root chega a 25.
- O atacante mira o Active Directory para descriptografar a senha da conta de serviço LDAP (Lightweight Directory Access Protocol), enumerar usuários e aplicar pulverização de senhas, testando senhas temáticas da organização em todas as contas de usuário, na tentativa de extrair credenciais. A operação também tenta criar contas de backdoor no Active Directory.
Não está claro se a atividade permitiu ao grupo encontrar credenciais válidas ou criar contas de backdoor. Por isso, a extensão total do comprometimento permanece indeterminada.
“Como [os] EUA, Japão, Taiwan e Coreia do Sul são os quatro principais adversários estratégicos e alvos de inteligência das operações cibernéticas alinhadas ao Estado chinês no teatro do Pacífico, isso indica possíveis esforços de adversários de nível estatal”, disse a Dream.
“A operação ilustra como uma interface de gerenciamento exposta pode se tornar um caminho para a infraestrutura de identidade de uma organização. Os outros 22 firewalls comprometidos continuam com web shells ativas. O túnel persistente para a organização do governo dos EUA provavelmente ainda está em funcionamento. E o atacante ainda tem 19.000 alvos identificados que pode revisitar à medida que desenvolve perfis para versões adicionais de sistemas operacionais.”
A divulgação ocorre enquanto as vulnerabilidades do PHP2Shell têm sido exploradas apenas de forma limitada em ataques reais. Agentes de ameaça destacam as dificuldades de transformar uma prova de conceito (PoC) em um vetor de ataque confiável contra alvos reais, apesar de tê-las incorporado às suas campanhas.
“Na prática, é um lixo impossível de explorar. Para atacar alvos reais, você precisa dos offsets do libphp.so, que são únicos para cada build e impossíveis de forçar por tentativa e erro. Dá para reproduzir isso na sua própria bancada de testes, ou se você já tiver acesso ao sistema de arquivos do alvo”, disse um membro que usa o apelido c0d3x no fórum XSS, segundo a Flare.
