Recent onderzoek van Dream beschrijft een aanval waarbij een PHP2Shell keten werd ingezet om firewalls te compromitteren. Het doel: roottoegang, het plaatsen van webshells voor blijvende controle en vervolgens het uitbuiten van beheerfuncties om laterale beweging en credential misbruik mogelijk te maken.
De campagne toont hoe kwetsbaarheden in webcomponenten — gecombineerd met een privilege-escalatie in Linux — kunnen uitgroeien tot een volledige netwerkdoorbraak. Hieronder lees je wat er precies is waargenomen en wat je nu praktisch kunt doen.
Wat is er misbruikt: de PHP2Shell keten
De aanvallers combineerden meerdere kwetsbaarheden in een geautomatiseerde exploitketen. Daarbij werd een reeks van twee PHP-gerelateerde fouten (genoteerd als CVE-2026-109618 en CVE-2026-109619) gekoppeld aan een extra stap voor privilege escalation.
Voor die escalatie werd ook een Linux-bug gebruikt, aangeduid als CVE-2026-46300 (Fragnesia). Door deze schakels te combineren konden de aanvallers volgens Dream roottoegang behalen op firewalls en vervolgens een PHP root webshell achterlaten.
Hoe kwamen de aanvallers aan targets?
Opvallend is de manier van selecteren. De groep gebruikte FOFA, een Chinese internet asset search engine, om 19.000 internet-facing firewalls te identificeren van een specifieke vendor. Daarna gingen ze over tot gerichte pogingen: in totaal zouden er 25 firewalls zijn aangevallen in de periode van 23 tot 24 oktober.
Eerst filterden de aanvallers op locaties en waarschijnlijk ook op strategische relevantie: servers in de VS, Japan, Taiwan en Zuid-Korea. Vervolgens werd aanvullend gefilterd op installaties met nieuwere PHP-releases. Dat leverde volgens Dream een pool van 240 mogelijke doelwitten op voor geautomatiseerde checks en exploitatie.
Van exploit naar blijvende toegang: webshells en tunneling
Met een geautomatiseerde tool voerden de aanvallers de volledige PHP2Shell keten uit op de doel-firewalls. Op 24 apparaten plaatsten ze een PHP root webshell zodat ze later opnieuw konden terugkeren.
Dream meldt dat er op 22 firewalls na de initiële compromittering geen verdere post-exploitation is waargenomen. Op twee servers ging het wél verder richting dieper misbruik in een omgeving gelieerd aan de VS.
Interessant detail: op 23 oktober zou de eerste gerootte firewall kort na de exploit crashen. De aanvallers startten daarom op 24 oktober een tweede golf. Daarbij zouden ze de eerste firewall gedurende twee uur met 240 geautomatiseerde probes hebben gevolgd totdat het systeem herstelde of niet meer beschikbaar was.
Voor het behouden van toegang werd vervolgens een reverse SSH tunnel ingezet. Via die tunnel probeerden ze een interne firewall management server opnieuw te benaderen met dezelfde exploitketen, met als gevolg dat ze beheerinformatie en toegang kregen tot configuraties en credentials van de firewalls die door de organisatie werden beheerd.
Wat deden ze daarna met beheer, credentials en domein?
Eenmaal toegang verkregen tot de managementlaag, ging het misbruik verder richting domein- en accountniveau. Dream beschrijft onder andere dat aanvallers:
- de password van de LDAP service account wisten te decrypten;
- users en groepen in het domein konden enumereren;
- password spraying-aanvallen probeerden;
- trachtten Active Directory backdoor accounts te creëren.
Dit patroon past bij aanvallen waarin de eerste foothold (hier: firewalls via PHP2Shell keten) wordt gebruikt om vervolgens de “command-and-control” over netwerkbeleid en identiteitsgegevens te grijpen.
Waarom dit mogelijk nation-state waarde heeft
Dream heeft de activiteit niet direct toegewezen aan een specifieke threat actor. Wel wordt de campagne volgens de rapportage gezien als onderdeel van een “Chinese-nexus” operatie.
De redenering: de focus op regio’s die voor Chinese staatsgerelateerde cyberoperaties in het Pacific theater strategisch en relevant zijn — namelijk VS, Japan, Taiwan en Zuid-Korea. Dream stelt dat dit kan wijzen op een bredere nation-state inspanning, al blijft attributie onzeker zolang er geen harde bewijzen zijn.
Wat kun jij nu doen? Checklist voor netwerkteams
Als jouw organisatie firewalls gebruikt die (mogelijk) PHP-componenten verwerken, is dit een signaal om niet te wachten. Richt je aanpak op drie sporen: patchen, beperken en detecteren.
1) Patch en controleer: sluit de keten
Omdat de aanval draait om een combinatie van meerdere CVE’s, is “alleen iets bijwerken” niet genoeg. Behandel het alsof het om één keten van misbruik gaat: zorg dat alle relevante componenten (PHP-onderdelen en de onderliggende Linux/basislaag waar van toepassing) up-to-date zijn.
Heb je nog niet alle systemen in kaart? Start dan met firewalls die internet-facing zijn en PHP verwerken, en prioriteer daarop systemen met de hoogste blootstelling en meest recente softwareconfiguraties.
2) Verklein beheeroppervlak en roltoegang
De aanvallers konden via een management server configuraties, credentials en instellingen van beheerde firewalls benaderen. Kijk daarom kritisch naar:
- toegang tot de managementserver (wie kan wat, en vanaf welke netwerken);
- segmentatie tussen edge en management-netwerken;
- of er extra “jump hosts” en logging nodig zijn om misbruik te vertragen.
3) Detecteer webshell- en tunnelgedrag
Een webshell op root-niveau en reverse SSH tunneling laten vaak herkenbare sporen na. Zet (of controleer) alerting op afwijkende:
- bestandswijzigingen in webroot-achtige paden;
- netwerkverkeer dat lijkt op tunneling of niet-verwachte uitgaand/ingekomen SSH-verbindingen;
- authenticatiepatronen die passen bij enumeratie en password spraying.
Wil je aanvullende context over hoe aanvallen via web- of devicecomponenten zich naar grotere ketens kunnen ontwikkelen? Bekijk dan ook: Device code phishing: Skyw4lker bij Amerikaanse organisaties. Het laat zien dat aanvallers graag meerdere stappen combineren om controle te krijgen.
Verwante kwetsbaarheden: patchdiscipline loont
In de praktijk zie je vaak dat verschillende campagnes dezelfde “operational tempo”-kenmerken hebben: snel scouten, gericht exploiteren en vervolgens doorgaan tot en met misbruik van beheer of accounts. Daarom helpt patchdiscipline niet alleen bij één incident, maar structureel bij je weerbaarheid.
Als je wilt bijsturen op patch-urgentie, is dit een relevante lezing: EPICS Base kwetsbaarheden: patch snel (7.0.11). Hoewel het om een ander product gaat, onderstreept het artikel het belang van snel handelen zodra een leverancier met een oplossing komt.
Conclusie
De gemelde aanval laat zien dat een PHP2Shell keten kan escaleren van webcomponent-misbruik naar roottoegang, het plaatsen van webshells en uiteindelijk controle over firewallmanagement en domein-credentials. Dat maakt het risico voor organisaties met internet-facing firewalls en PHP-verwerking realistisch en actueel.
Pak het daarom als een prioriteit: patch de relevante onderdelen, beperk managementtoegang, en versterk detectie op webshell- en tunnelinggedrag. Hoe eerder je de keten verbreekt, hoe kleiner de kans dat een eerste foothold overslaat op beheer en identiteitsmisbruik.
Bron: https://www.securityweek.com/china-linked-hackers-exploit-php2shell-to-root-firewalls/
