Китайские хакеры получили root-доступ к 25 серверам через эксплойты PHP2Shell и Fragnesia

Атакующие получили root-доступ к 25 серверам через эксплойты PHP2Shell и Fragnesia

Китайские хакеры использовали связку эксплойтов PHP2Shell и Fragnesia для получения root-доступа к 25 серверам. Среди них были межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США. Исследователи из компании Dream зафиксировали начало эксплуатации этих серверов 23 октября. Целью атаки стали организации в США, Японии, Тайване и Южной Корее. Хакеры также сфокусировались на межсетевых экранах, связанных с правительством США. После компрометации одного из таких устройств злоумышленники за несколько часов проникли во внутреннюю сеть и скомпрометировали еще один сервер, используя тот же эксплойт PHP2Shell. Вся цепочка атаки началась с одного незащищенного HTTPS-запроса к интерфейсу управления, который не должен был быть доступен из интернета. По данным Dream, атакующие сохраняют постоянный удаленный доступ к сетям скомпрометированных организаций.

Атакующие использовали PHP2Shell и Fragnesia для получения root-доступа

Злоумышленники построили кастомную цепочку эксплойтов, включающую PHP2Shell (CVE-2026-109618 и CVE-2026-109619) и уязвимость ядра Linux Fragnesia (CVE-2026-46300). PHP2Shell позволяет выполнять код на уязвимых PHP-серверах без аутентификации. Эксплойт, обнаруженный исследователями Dream, был разработан независимо и адаптирован под целевую платформу межсетевых экранов. Fragnesia — это уязвимость повышения привилегий в ядре Linux, затрагивающая подсистему XFRM ESP-in-TCP. Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло эту уязвимость в каталог известных эксплуатируемых уязвимостей. Атакующие использовали четырехэтапный эксплойт PHP2Shell для выполнения команд без аутентификации на межсетевых экранах Palo Alto Networks. Затем они применяли Fragnesia для повышения привилегий до root-доступа. Целью были PAN-OS версий 12.1 и 12.2, использующие PHP 8.0.30 с высоким лимитом памяти, что позволяло проводить стадии атаки, связанные с повреждением памяти. Вся цепочка от незащищенного HTTPS-соединения до получения постоянного root-вебшелла занимала менее 15 минут. После получения доступа злоумышленники исследовали Active Directory, крали учетные данные и другую информацию. Они также получили доступ к паролю учетной записи службы LDAP, который затем использовали во всех последующих скриптах. Атакующие перебирали пароли для всех учетных записей пользователей и пытались создать резервные учетные записи в AD, а также извлечь ключ подписи SAML.

Атаке подверглись межсетевые экраны Palo Alto Networks с PAN-OS 12.1 и 12.2

Целью атаки стали межсетевые экраны Palo Alto Networks, работающие под управлением уязвимых версий PAN-OS 12.1 и 12.2. Эти версии используют PHP 8.0.30, что позволяло злоумышленникам проводить стадии атаки, связанные с повреждением памяти. Исследователи Dream сотрудничали с Palo Alto Networks для расследования инцидентов. Специалисты Unit 42 от Palo Alto Networks независимо подтвердили инструменты атакующих и результаты расследования Dream. Атакующие использовали сервис FOFA для поиска около 19 000 межсетевых экранов Palo Alto Networks, доступных из интернета. Исследователи обнаружили следы использования AI-инструментов, включая Claude Code от Anthropic и платформу aiscan, настроенную с китайскими моделями DeepSeek и Kimi. Эти инструменты использовались для разведки и идентификации целей.

Обновиться до последней версии PAN-OS и установить патч безопасности

Компании, использующие межсетевые экраны Palo Alto Networks, должны обновить свои устройства до последних версий операционной системы PAN-OS. Необходимо установить патч безопасности, устраняющий уязвимости CVE-2026-109618, CVE-2026-109619 и CVE-2026-46300. Palo Alto Networks выпустила обновления для устранения этих уязвимостей. Рекомендуется также пересмотреть настройки доступа к интерфейсам управления межсетевых экранов, убедившись, что они не доступны из интернета. Следует провести аудит безопасности внутренних сетей на предмет несанкционированного доступа и компрометации учетных данных. Компании должны проверить свои системы Active Directory на предмет подозрительной активности, такой как создание новых учетных записей или попытки перебора паролей. Palo Alto Networks выпустила обновления для устранения этих уязвимостей. Исследователи Dream предупреждают, что атакующие могут сохранить доступ к скомпрометированным сетям и имеют большой список потенциальных целей для будущих атак.