Cybersecurityonderzoekers melden een aanval die lijkt te zijn ondersteund met AI-tooling en waarbij de PHP2Shell kernelketen werd ingezet om ingeleverde, internet-bereikbare systemen diep te compromitteren. In de waarnemingen — gezien op 25 oktober 2026 — zou de aanvaller uiteindelijk 25 servers hebben “geroot”, waaronder systemen in een omgeving die gelieerd is aan de Amerikaanse overheid.
Wat de zaak extra urgent maakt: de aanval combineert twee kwetsbaarheden uit verschillende lagen (applicatiekant en besturingssysteem). Daardoor ontstaat een keten die kan leiden tot unauthenticated remote code execution en vervolgens tot local privilege escalation. De details laten ook zien hoe een gecompromitteerde firewall management-laag kan doorschakelen naar identiteitsinfrastructuur, zoals Active Directory.
Wat onderzoekers aantroffen: van RCE tot root
De aanval draait om twee kerncomponenten die samen een werkende route vormen:
- PHP2Shell: twee flaws, CVE-2026-109618 en CVE-2026-109619 (CVSS 9.2), met de mogelijkheid tot unauthenticated remote code execution.
- Fragnesia: een Linux kernel local privilege escalation vulnerability, CVE-2026-46300 (CVSS 7.8).
Volgens de onderzoekers richt de PHP2Shell-component zich op het mechanisme PHP session.upload_progress op de appweb management server van een firewallplatform. Daarbij speelt een specifieke runtime-instelling mee: de firewall OS gebruikt PHP 8.0.30 met een hoge memory limit, wat de “memory corruption”-stappen van de exploitketen mogelijk zou maken.
Het opvallende is dat de aangetroffen exploitatie niet zomaar een gekopieerde public proof-of-concept lijkt. De onderzoekers beschrijven een custom, niet-publieke build die conceptueel dezelfde richting volgt, maar in hun reconstructie onafhankelijk is ontwikkeld en aangepast aan het specifieke doelwitplatform.
Welke impact: 25 servers, webshells en een persistente tunnel
De keten zou uiteindelijk 25 servers hebben getroffen in meerdere regio’s: de VS, Japan, Taiwan en Zuid-Korea. Onderdeel van de aanval is het plaatsen van een PHP webshell op een directory die publiek bereikbaar is op de firewall.
Daarna volgde verificatie van root-toegang en logging van gegevens zoals hostnaam en IP. Van die compromisroute zouden 24 servers via de webshell-aanpak tot root zijn gekomen. Vervolgens stapte de aanvaller door naar acties richting het interne netwerk.
In een deel van de waarnemingen worden drie servers in een aan de overheid gelieerde omgeving extra uitgelicht:
- Een eerste systeem crashte kort na het rooten (23 oktober 2026) en kwam niet meer terug online.
- Een tweede systeem werd op 24 oktober 2026 opnieuw succesvol ge-root.
- Via dat tweede systeem bouwde de aanvaller een persistente verbinding op met een reverse SSH-tunnel, waardoor ook een derde (intern alleen via tunnel bereikbaar) systeem kon worden gecompromitteerd.
De onderzoekers geven aan dat er daarnaast nog 22 andere gerootte firewalls “klaarstaan” met actieve webshells. Ook wordt gemeld dat de reverse SSH-tunnel richting de overheidseenheid waarschijnlijk nog actief was. Tot slot beschrijven zij een brede set van ongeveer 19.000 gefingerprintte doelen die later opnieuw kunnen worden benaderd zodra profielen voor meer OS-varianten zijn uitgewerkt.
Hoe de aanvaller doelen selecteerde
Uit de gereconstrueerde stappen blijkt dat de operatie niet één willekeurige poging was, maar een duidelijke workflow om schaal te maken met gerichte filtering. De aanpak bestond uit verkenning, fingerprinting en vervolgens exploitatie in batch.
Concreet wordt gemeld dat de aanvaller:
- FOFA gebruikte om ongeveer 19.000 internet-bereikbare firewalls te vinden met een exposed management interface.
- Daarna een custom scanner draaide om te bepalen welke systemen online waren en welke OS-versie werd gebruikt. Ongeveer 5.000 toestellen zouden versie-informatie teruggeven.
- Daaruit vervolgens systemen filterde naar locaties: VS, Japan, Taiwan en Zuid-Korea, en verder beperkte tot een specifieke release-lijn met PHP 8.0.30. Dat leverde ongeveer 240 targets op.
- De targetlijst aan een automated batch runner gaf die de PHP2Shell–Fragnesia keten toepaste, een webshell plantte, root verifieerde en resultaten wegschreef (zoals naar een CSV-bestand).
Deze opbouw laat zien hoe belangrijk het is dat “management interfaces” niet als intern-only worden behandeld, maar worden gezien als een realistisch aanvalspunt zodra ze publiek bereikbaar zijn.
Active Directory als volgende stap: credentials en enumeratie
Nadat roottoegang was verkregen, verschoof de focus naar identiteitsinfrastructuur. De onderzoekers beschrijven dat de aanvaller Active Directory aanviel om onder andere:
- het wachtwoord van de LDAP service account te decrypten;
- gebruikers te enumereren;
- vervolgens passwords te “sprayen” op basis van organisatie-thema’s;
- pogingen deed om backdoor Active Directory-accounts te creëren.
Het blijft onduidelijk of de aanvaller daadwerkelijk geldige inloggegevens kon vinden of backdoor-accounts succesvol kon neerzetten. Daardoor is de volledige omvang van de compromis (op identiteitsniveau) nog niet volledig vast te stellen.
AI-ondersteuning in de keten: aanwijzingen in scripts en tooling
Naast de technische exploitdetails wijzen de onderzoekers ook op aanwijzingen dat AI-tooling een rol speelde bij het opzetten van de aanval. Zo wordt melding gemaakt van:
- de installatie van Anthropic’s Claude Code binnen de aanvalsinfrastructuur;
- aanwezigheid van API-keys voor FOFA en een offensieve AI-gebaseerde scanneroplossing genaamd aiscan;
- configuratie van LLM’s van DeepSeek en Kimi binnen die omgeving.
Verder valt op dat de code-opbouw, comment-stijl en consistentie tussen bijna 40 scripts duidt op een proces waarin AI mogelijk wordt ingezet om ontwikkeling te versnellen of te vereenvoudigen. Dat sluit aan bij een trend waarin tools de “engineeringlast” verlagen, terwijl operators nog steeds handmatig keuzes maken over doelselectie en doorbraak.
Waarom dit ook buiten “PoC”-verhalen telt
In de waarnemingen wordt nadrukkelijk benadrukt dat het om een werkende aanval gaat met een keten van kwetsbaarheden. Tegelijk is in eerdere context rond PHP2Shell door verschillende partijen gewezen op praktische uitdagingen bij het omzetten van een proof-of-concept naar een stabiele exploit op echte systemen.
In de broncontext wordt bijvoorbeeld aangehaald dat het lastig zou zijn om een PoC betrouwbaar te gebruiken zonder specifieke details (zoals offsets die samenhangen met individuele builds van libphp.so). Die beperking maakt het extra relevant dat onderzoekers hier juist een op maat ontwikkelde keten beschrijven voor de betreffende firewallplatformen.
Met andere woorden: ook als de kwetsbaarheid complex kan zijn om “standaard” te misbruiken, kan een gerichte actor toch een bruikbare implementatie bouwen.
Wat je nu kunt doen (praktische checklist)
Als je firewalls of managementinterfaces gebruikt die aan de beschreven voorwaarden kunnen voldoen, is het verstandig om snel te handelen. Gebruik onderstaande punten als startpunt:
- Inventariseer blootstelling: welke firewall- of managementinterfaces staan publiek of via “trusted” routes bereikbaar? Sluit indien mogelijk direct af of zet strikt toegangsbeheer in.
- Controleer versies en configuraties: specifiek gaat het om scenario’s met PHP 8.0.30 en instellingen die een hoge memory limit omvatten. Vergelijk met jouw exacte firmware/software build.
- Zoek naar webshell-indicatoren: controleer publieke directories, scriptbestanden en onverwachte PHP-webpaden op integriteit en anomalieën.
- Monitor voor persistente toegang: let op reverse tunnels, ongebruikelijke uitgaande SSH-verbindingen en afwijkende netwerkpaden.
- Evalueer Active Directory-impact: onderzoek ongebruikelijke LDAP/WMI-query’s, credential access-achtige patronen, brute-force/wordlist-achtige patronen en accountwijzigingen.
Wil je breder kijken naar hoe je dit soort keten-aanvallen voorkomt en doorbreekt? Lees dan ook het artikel over kritieke UEFI/PXE-kwetsbaarheid, waar “pre-boot” en latere compromitteerbaarheid centraal staan.
En als je te maken hebt met web- en applicatiekwetsbaarheden die leiden tot diepere penetratie, kan dit ook aansluiten op aanpakken rondom PHP2Shell-kwetsbaarheden in een bredere ketencontext.
Conclusie
Deze melding laat zien hoe de PHP2Shell kernelketen kan worden ingezet om vanuit een kwetsbare managementcomponent door te stoten naar roottoegang, webshells en uiteindelijk identiteitsinfrastructuur. De combinatie van maatwerk-exploitatie, batchmatige doelselectie en persistente verbindingen maakt de aanval technisch overtuigend — en daarmee ook relevant voor organisaties die firewalls en managementservices publiek of semipubliek blootstellen.
De kernboodschap is helder: behandel internet-bereikbare managementinterfaces als hoog-risico aanvalsoppervlak, patch snel waar mogelijk, en monitor door tot voorbij “alleen” systeemcompromis, richting Active Directory en credential exposure.
Bron: https://thehackernews.com/2026/10/php2shell-attack-roots-25-servers.html
