О включении PHP2Shell (CVE-2026-109618 и CVE-2026-109619) в каталог KEV мы писали 27 октября. Теперь появилось первое подробное описание реальной кампании.
Как шла атака
По данным Dream, атакующий через поисковик FOFA нашёл около 19 000 файрволов (вендор не назван) с открытым интерфейсом управления. Около 5 000 ответили сканеру версий. После фильтрации по странам (США, Япония, Тайвань, Южная Корея) и версии PHP 8.0.30 осталось 240 целей. Эксплойт бил по session.upload_progress на сервере управления appweb. Затем ядерная LPE CVE-2026-46300 (Fragnesia) давала root, а пакетный скрипт ставил веб-шеллы. Итог — 25 устройств с root.
Госсеть США
В организации, связанной с правительством США, взломаны три системы. Через одну 24 октября подняли обратный SSH-туннель во внутреннюю сеть, затем взяли внутренний сервер управления файрволами. Дальше атакующий пытался расшифровать пароль сервисной учётки LDAP, перебирать пароли и создавать бэкдор-аккаунты в Active Directory. Насколько успешно — неизвестно.
Роль ИИ
На инфраструктуре нашли Claude Code, ключи FOFA и платформу aiscan с моделями DeepSeek и Kimi. Структура и комментарии почти 40 скриптов указывают на генерацию с помощью ИИ. Dream предполагает связь с Китаем.
Что делать
На 22 устройствах веб-шеллы ещё активны. Обновите PHP и прошивки файрволов, уберите интерфейсы управления из интернета и проверьте устройства на посторонние файлы и SSH-туннели. Реальное применение эксплойта ограничено: нужны смещения в libphp.so под конкретную сборку, но эта кампания показывает, что их подбирают.
We covered PHP2Shell (CVE-2026-109618 and CVE-2026-109619) being added to KEV on October 27. Now the first detailed account of a real campaign has appeared.
How the attack worked
According to Dream, the attacker used the FOFA search engine to find about 19,000 firewalls (vendor not named) with exposed management interfaces. About 5,000 answered a version scanner. Filtering by country (US, Japan, Taiwan, South Korea) and PHP 8.0.30 left 240 targets. The exploit hit session.upload_progress on the appweb management server. The kernel LPE CVE-2026-46300 (Fragnesia) then gave root, and a batch runner planted web shells. Result: 25 rooted devices.
US government network
Three systems were compromised at a US government-affiliated organization. On October 24 one of them was used to open a reverse SSH tunnel into the internal network, and an internal firewall management server was taken next. The attacker then tried to decrypt an LDAP service account password, spray passwords and create backdoor accounts in Active Directory. How far that got is unknown.
The AI angle
The infrastructure contained Claude Code, FOFA API keys and the aiscan platform configured with DeepSeek and Kimi models. The structure and comments of nearly 40 scripts suggest AI-assisted development. Dream suspects a China-nexus actor.
What to do
Web shells are still active on 22 devices. Update PHP and firewall firmware, take management interfaces off the internet, and check devices for unexpected files and SSH tunnels. Real-world use of the exploit is limited because it needs build-specific libphp.so offsets, but this campaign shows attackers are working them out.