האקרים עם קשר לסין פרצו לרשת ממשלתית אמריקאית באמצעות PHP2Shell

האקרים החשודים כקשורים לסין השתמשו בפגמי PHP2Shell ובפגיעות בקרנל Linux כדי לפרוץ לרשת המזוהה עם ממשלת ארצות הברית, לפי Dream. החברה מסרה כי התוקפים פגעו ב-24 חומות אש לאחר שסרקו 19,000 התקנים חשופים לאינטרנט בארבע מדינות. הפריצה התגלתה ב-25 באוקטובר ומתוארת כמקרה המתועד הראשון שבו PHP2Shell שורשר לפריצה מלאה לרשת ממשלתית.

איך עבדה המתקפה

הפריצה באה לאחר חשיפה של שתי פגיעויות PHP קריטיות, שכל אחת מהן בדירוג חומרה 9.2 ושקיבלו יחד את הכינוי PHP2Shell. Dream מסרה כי התוקפים שילבו שני פגמים ב-PHP2Shell, CVE-2026-109618 ו-CVE-2006109619, עם פגיעות בקרנל Linux בשם Fragnesia, CVE-2026046300, כדי להשיג גישת root לחומות אש פגיעות ללא אימות. Kfir Fleischer, סמנכ״ל מוצר ומחקר סייבר ב-Dream, אמר כי קשה לנצל את PHP2Shell בצורה מהימנה משום שהוא דורש קיזוזי זיכרון מדויקים התלויים בגרסה ולא קיים ניצול אוניברסלי. הוא אמר שהתוקף נאלץ לשרשר את PHP2Shell עם פגיעות נוספת מקומית להרחבת הרשאות, מה שהופך את המתקפה הכוללת לשרשרת דו-שלבית. Dream מסרה כי גם בתנאים אידיאליים רק כ-10% מהניסיונות הצליחו, ורוב הכישלונות היו פסקי זמן.

היקף ויעדים

חוקרי Dream שחזרו את הפעולה באמצעות מערכת מחקר בינה מלאכותית פנימית שלה, Hero, לאחר שאיחזרו יומנים של התוקפים, כלי ניצול וכ-40 סקריפטים לשלב שלאחר הניצול. התוקפים זיהו 19,000 חומות אש חשופות לאינטרנט וצמצמו את היעד ל-240 התקנים פגיעים בארצות הברית, יפן, טייוואן ודרום קוריאה. הם פגעו בהצלחה ב-24 חומות אש לפני שכוונו לשרת ניהול פנימי של ארגון ששמו לא נמסר והמזוהה עם ממשלת ארצות הברית. Dream מסרה כי התוקפים שמרו על גישה, פרצו לשרת הניהול הראשי של חומות האש וגנבו פרטי התחברות של Active Directory, שעשויים לאפשר להם לגשת לחלקים נוספים ברשת. לאחר מכן התוקפים פירטו חשבונות משתמשים וקבוצות, ניסו סיסמאות נפוצות בחשבונות רבים וניסו ליצור חשבונות גישה סודיים ולגנוב מפתחות חתימה, אך החוקרים לא הצליחו לקבוע אם התקיפות הנוספות הללו הצליחו.

אותות AI והתגובה הרחבה

Dream זיהתה גם מעורבות אפשרית של AI במתקפה, כולל התקנות של Claude Code וכלי אבטחה התקפיים שהוגדרו עם המודלים הסיניים DeepSeek ו-Kimi. החברה לא ייחסה את הפעילות לשחקן איום ספציפי, אך אמרה שהיא מאמינה שהמערכה היא חלק מפעולה עם קשר לסין בשל הנחיות בשפה, חותמות זמן ומיקוד גיאוגרפי. CISA אישרה ניצול פעיל והורתה לסוכנויות פדרליות ליישם אמצעי הקלה עד 29 באוקטובר. Cybernews דיווחה כי 32.5 מיליון שירותי PHP עדיין מריצים גרסאות פגיעות, כולל 10.3 מיליון בארצות הברית, בעוד Amazon זיהתה ניסיונות ניצול של PHP כבר ב-17 באוקטובר, ארבעה ימים לפני הגילוי הפומבי, ו-Cloudflare הבחינה במיליוני ניסיונות תקיפה לאחר ההודעה.

סיקור קודם: CISA מוסיפה שני פגמי RCE מסוג PHP2Shell לקטלוג KEV

מקורות: Cybernews