O entitate guvernamentală din Europa a fost compromisă prin vulnerabilitățile PHP2Shell, iar atacatorii au accesat hash-uri de parole și secrete de autentificare multifactor în mai puțin de două ore de la exploatarea inițială. Unit 42, echipa de cercetare a Palo Alto Networks, spune că intrușii au creat și un tunel NTLM relay către Active Directory, apoi au încercat să obțină privilegii de Domain Admin.
Cazul arată că PHP2Shell nu este doar o problemă de scanare automată: accesul la datele de autentificare poate transforma rapid o vulnerabilitate a serverului web într-o amenințare pentru infrastructura internă. Cercetătorii au observat indicii compatibile cu folosirea unor platforme de inteligență artificială agentică după compromitere, dar nu au prezentat concluzia drept o atribuire certă a operațiunii către un sistem AI.
În urma exploatării, atacatorii au căutat secrete și acces în Active Directory
Potrivit Unit 42, operatorul necunoscut a enumerat sistemul compromis și a folosit comenzi pentru a căuta informații utile în bazele de autentificare, inclusiv hash-uri de parole și secrete de autentificare în doi pași. Activitatea a inclus și verificări ale gazdei pentru a identifica integrarea DNS și Active Directory, sisteme interne, grupuri privilegiate și utilizatori cu sesiuni interactive.
În Active Directory, atacatorul a folosit interogări LDAP anonime, lansate prin curl către controlerul de domeniu, în încercarea de a găsi contul administratorului. În paralel, tunelul NTLM relay putea facilita folosirea autentificării interceptate pentru a accesa resurse din domeniu; sursa precizează că a fost stabilit un astfel de tunel și că a urmat o tentativă de escaladare, nu că atacatorul a devenit Domain Admin.
Un indiciu neobișnuit a fost formatul comenzilor: grupuri de instrucțiuni delimitate de marcaje precum ==SHELLUSER== și ==PASSWD==. Unit 42 afirmă că aceste separatoare produc rezultate ușor de interpretat automat de un model AI, iar comportamentul observat sugerează utilizarea unui agent pentru activități post-exploatare; informațiile publicate nu dezvăluie însă platforma folosită și nici nu demonstrează că fiecare comandă a fost generată de AI.
O campanie discretă scanează 216 de sisteme, de pe noduri compromise
Separat, CYFIRMA a identificat o campanie suspectată de legături cu Coreea de Nord, care folosește 21 de noduri compromise pentru a sonda infrastructură PHP la nivel global. Activitatea este descrisă drept lentă și atent ritmată: operatorii schimbă nodurile și le abandonează la primele semne de blocare ori limitare a traficului, o tactică menită să evite alertele bazate doar pe praguri de volum.
Setul vizat cuprinde 216 de gazde neactualizate sau remediate doar parțial, localizate în SUA, Japonia, Coreea de Sud, Thailanda, Indonezia, Australia, Taiwan, India, Singapore, Emiratele Arabe Unite, Arabia Saudită și Uniunea Europeană. Sectoarele menționate includ instituții guvernamentale și financiare, logistică, aeroporturi și aviație, producție industrială și platforme de tranzacții online.
CYFIRMA spune că operațiunea a trecut de la recunoaștere la scanarea activă, dar discretă, a unei liste filtrate de ținte. Comunicarea și coordonarea s-ar desfășura printr-un canal I2P închis, iar cercetătorii consideră cu încredere moderată că activitatea aparține unui operator vorbitor de coreeană, asociat ecosistemului Lazarus; atribuirea rămâne o evaluare, nu o confirmare definitivă.
Indicii Lazarus și verificări ale infrastructurii Palo Alto
În canalul I2P au fost observate două pseudonime — 전창혁 2, redat Jeon Chang-hyuk 2, și 최아린, redat Choi A-rin — despre care CYFIRMA afirmă că au mai apărut în operațiuni clandestine ale actorilor respectivi. Kumar Ritesh, CEO și fondator al companiei, a declarat că discuțiile surprinse folosesc vocabular și ortografie specifice limbii Munhwaŏ din Coreea de Nord, nu standardului sud-coreean.
Printre indiciile tehnice invocate se află infrastructură de comandă și control folosită anterior de Lazarus pentru exploatarea activelor web, precum și istoricul grupului de a compromite servere PHP și WordPress pentru C2 și de a instala web shell-uri PHP și ASP. CYFIRMA face trimitere și la campania watering-hole SyncHole, dar aceste asemănări susțin atribuirea fără să o transforme, singure, într-o certitudine.
Profilul țintelor este un alt element luat în calcul: agenții guvernamentale, băncile și platformele de tranzacții online se potrivesc interesului istoric al Lazarus pentru furt financiar și de criptomonede. CYFIRMA spune că operatorii intenționau să selecteze în aceeași zi țintele considerate promițătoare și apoi să decidă ce exploit-uri publice să adapteze; formularea indică pregătiri pentru exploatare, nu confirmă că toate cele 216 de sisteme au fost compromise.
La 25 octombrie 2026, compania Defused Cyber a raportat pe X probe PHP2Shell observate în honeypot-uri Palo Alto Networks GlobalProtect. Cererile proveneau de la 204.76.203[.]7, o adresă IP cunoscută pentru activități de exploatare în masă, și includeau marcajul PHP_SESSION_UPLOAD_PROGRESS „p2s-rider” și o încărcare de fișier-martor fără payload; tiparul sugerează verificarea comportamentului vulnerabil și posibila alcătuire a unei liste de dispozitive Palo Alto.
Vulnerabilitățile PHP cer remedieri la nivelul runtime-ului
CVE-2026-109618 și CVE-2026-109619 sunt vulnerabilități critice care pot permite execuție de cod de la distanță în configurații PHP implicite. Cloudflare a raportat milioane de tentative de exploatare după divulgarea publică, iar analiza tehnică publicată de Datadog explică două dificultăți pentru atacator: dimensionarea cererii astfel încât o alocare de memorie să eșueze la momentul potrivit și ocolirea ASLR pentru a identifica adrese valide în memorie.
Datadog arată că numele unui câmp din cerere trebuie să fie suficient de mic pentru a încăpea în corpul acceptat, dar suficient de mare încât copierea cheii să depășească limita memory_limit. La parsarea numelui unui câmp de formular, PHP realizează mai multe copii; atacatorul exploatează consumul suplimentar pentru a provoca eșecul alocării când cheia este copiată într-un tabel hash.
Într-o actualizare din 22 octombrie 2026, ReliaQuest a spus că a reprodus CVE-2026-109618 într-un laborator controlat și a identificat o secvență de artefacte utile pentru apărare. Administratorii ar trebui să caute corelarea dintre o cerere POST care primește răspuns HTTP 500, erori PHP de epuizare a memoriei și corupere a heap-ului, apoi blocarea procesului worker Apache care a gestionat cererea.
PHP Foundation a avertizat și asupra unei a treia vulnerabilități de execuție de cod de la distanță, CVE-2026-115560, care necesită o combinație neobișnuită de configurare și cod al aplicației.
Aplicația trebuie să seteze session.serialize_handler la php_binary sau php_serialize, apoi să îl schimbe în php la runtime prin ini_set() înainte de session_start(); funcția session upload progress trebuie să rămână activată.
Problema este așteptată să fie remediată în ciclul obișnuit de lansare, iar aplicațiile care nu schimbă handlerul la runtime pot păstra funcția activă.
Ce trebuie să facă instituțiile și companiile din România și UE
Pentru organizațiile românești și europene, faptul că UE apare între regiunile vizate face necesară verificarea expunerii, dar materialul nu identifică o țintă din România și nici nu confirmă compromiterea vreunei instituții românești. Riscul este totuși concret pentru orice server PHP vulnerabil, mai ales în sectoarele menționate de CYFIRMA: administrație, finanțe, logistică, transport aerian, producție și servicii de plată.
Primul pas este inventarierea serverelor și identificarea versiunilor PHP expuse, urmată de instalarea actualizărilor relevante direct pe gazdă. Bitsight estimează că aproape 37 de milioane de sisteme accesibile din internet rulează PHP sau software asociat, cu cele mai multe expuneri în SUA, Germania, Franța, Țările de Jos și Japonia; dimensiunea ecosistemului face improbabilă protejarea eficientă doar prin modificări izolate ale aplicațiilor.
Xint a lansat un scanner pentru verificarea expunerii la PHP2Shell și avertizează că execuția de cod poate fi posibilă în orice script PHP, indiferent de aplicație, precum și în aplicații care decodează date prin funcții sau procese precum session_start() și unserialize(). Instrumentul poate ajuta la prioritizarea verificărilor, însă organizațiile trebuie să valideze rezultatele și să aplice remedierea; un firewall pentru aplicații web sau actualizarea unui plugin nu închide vulnerabilitatea din runtime.
În paralel cu actualizarea PHP, echipele de securitate ar trebui să examineze jurnalele PHP, Apache și de sistem pentru secvența de erori indicată de ReliaQuest și să investigheze cererile suspecte de încărcare, inclusiv marcajul p2s-rider. Dacă sunt găsite indicii de acces, verificările trebuie extinse la conturi, secrete MFA, autentificări NTLM, interogări LDAP și activitatea din Active Directory; schimbarea credențialelor expuse și limitarea accesului privilegiat reduc riscul de propagare în rețea.
