PHP2Shell und Fragnesia: KI-gestützte Angriffe auf kritische Infrastruktur
Cybersecurity-Forscher haben Details zu einem Angriff bekanntgegeben, bei dem ein verdächtiger Akteur mit Verbindungen zu China die PHP2Shell-Schwachstellen nutzte, um 25 Server zu kompromittieren. Die Aktivität wurde am 25. Oktober 2026 beobachtet. Der Angreifer kombinierte PHP2Shell mit einem Kernel-Privilegieneskalations-Exploit, um Root-Zugriff auf 25 Server zu erlangen, darunter drei Systeme in einer US-Regierungsorganisation.
Der Angriffsketten nutzt zwei Schwachstellen: PHP2Shell (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2) und Fragnesia (CVE-2026-46300, CVSS 7.8). Die PHP2Shell-Lücken ermöglichen eine nicht authentifizierte Remote-Code-Ausführung, während Fragnesia eine lokale Privilegieneskalation im Linux-Kernel darstellt. Die israelische Firma Dream stellte fest, dass die betroffenen Geräte spezifische Versionen der Firewall-Software eines großen Herstellers ausführen. Der Name des Herstellers wurde nicht genannt, aber das Unternehmen hat die Entität benachrichtigt.
Die Implementierung des Angriffs war ein benutzerdefiniertes, nicht öffentliches Build, das speziell für die Ziel-Firewall-Plattform entwickelt wurde. Es nutzt den Mechanismus session.upload_progress von PHP auf dem appweb-Verwaltungsserver der Firewall. Das Firewall-Betriebssystem verwendet PHP 8.0.30 mit einem hohen Speicherlimit, das die Speicherbeschädigungsstadien des Angriffs ermöglicht. Der Angreifer nutzte KI-gestützte Tools, darunter Anthropic's Claude Code, sowie API-Schlüssel für FOFA und die offensive Sicherheitsplattform aiscan mit LLMs von DeepSeek und Kimi.
Der Angreifer identifizierte etwa 19.000 internetzugängliche Firewalls mit exposed Verwaltungsschnittstellen weltweit. Nach Filterung nach Online-Status, Betriebssystemversion und geografischer Lage (USA, Japan, Taiwan, Südkorea) sowie PHP 8.0.30 blieben 240 Ziele übrig. Ein automatisierter Batch-Läufer exploitierte die PHP2Shell-Fragnesia-Kette, pflanzte einen PHP-Webshell und verifizierte den Root-Zugriff. Dies führte zur Kompromittierung von 24 Servern. Zwei dieser Systeme gehörten zu einer US-Regierungsorganisation. Der Angreifer baute einen persistenten Kanal über einen Reverse-SSH-Tunnel und kompromittierte einen dritten Server in der internen Umgebung.
Nach dem Root-Zugriff zielte der Angreifer auf Active Directory ab, um LDAP-Dienstkennwörter zu entschlüsseln, Benutzer aufzulisten und Passwort-Spraying durchzuführen. Es ist unklar, ob der Angreifer gültige Anmeldedaten extrahieren oder Backdoor-Konten erstellen konnte. Die vollständige Reichweite des Kompromittierungsgrades bleibt unbestimmt. Dream wies darauf hin, dass die USA, Japan, Taiwan und Südkorea primäre strategische Ziele für chinesische staatlich verbundene Cyberoperationen im Pazifik sind.
Parallel dazu warnt der Eclypsium October InfraTrust Pulse-Bericht vor aktiv ausgenutzten Schwachstellen in kritischer Netzwerkinfrastruktur. Zwischen dem 18. September und dem 14. Oktober wurden 133 neue Sicherheitswarnungen von 18 Herstellern verfolgt, die 2.813 Schwachstellen abdeckten. Davon waren 37 kritisch und 58 konnten remote ohne Authentifizierung ausgenutzt werden. Sechzehn neu veröffentlichte Warnungen enthielten Schwachstellen, die in CISA's Known Exploited Vulnerabilities (KEV) Katalog gelistet sind.
InfraTrust hebt hervor, dass viele Netzwerkkomponenten wie Firewalls, VPN-Gateways und Application Delivery Controller PHP in ihre Verwaltungsschnittstellen einbetten. Da Hersteller PHP in die Firmware kompilieren, können Kunden PHP-Sicherheitsupdates oft nicht selbst installieren, sondern müssen auf Firmware-Updates der Hersteller warten. InfraTrust empfiehlt, PHP-basierte Verwaltungsschnittstellen nicht ins Internet freizugeben, während auf PHP2Shell-Patches gewartet wird.
Zu den aktiv ausgenutzten Schwachstellen gehören CVE-2026-88771 und CVE-2026-88772 bei Citrix NetScaler, CVE-2026-104935 bei Ivanti Connect Secure, CVE-2026-93616 bei Check Point Security Management Server, CVE-2026-76504 bei Cisco Catalyst SD-WAN Manager, CVE-2026-93952 bei Arista VeloCloud Orchestrator, CVE-2026-104286 bei FortiMail, CVE-2026-76519 bei Cisco Secure Email Gateway, CVE-2026-94127 bei F5 BIG-IP APM und CVE-2026-0322 bei PAN-OS. InfraTrust empfiehlt, NetScaler und Ivanti Connect Secure priorisiert zu patchen, da diese als Einstiegspunkt in Unternehmensnetzwerke dienen können.