LONDON (IT BOLTWISE) – Ermittler beschreiben einen KI-unterstützten Angriff, der über die PHP2Shell-Schwachstellen 25 Server kompromittiert haben soll. In der Kette aus PHP-Sitzungsmanipulation und Kernel-Privilegieneskalation wurden Webshells auf Firewall-Management-Systemen platziert. Besonders kritisch: Die Angreifer zielten auf Active Directory, um Anmeldedaten zu extrahieren und Nutzerkonten zu enumerieren. Für den Startpunkt der Kampagne werden unter anderem API-Keys und Fingerprinting über frei zugängliche Shodan-ähnliche Dienste genannt.
Die Sicherheitsforschung beschreibt einen Angriff, der ungewöhnlich früh zeigt, wie sich zwei separate Schwachstellenfamilien zu einer durchgehenden Kompromittierungskette verbinden lassen: PHP2Shell in Kombination mit einer lokalen Kernel-Privilegieneskalation. Laut den vorliegenden Details wurde die Aktivität am 25. Oktober 2026 beobachtet und soll insgesamt 25 Server „rooted“ haben – darunter drei Systeme in einem Umfeld, das mit US-Regierungsstellen in Verbindung gebracht wird. Entscheidend ist dabei nicht nur der Exploit selbst, sondern die Operationalisierung: Die Forscher berichten von einer vorab in einer Laborumgebung entwickelten und anschließend angepassten „Weaponization“, die speziell auf eine bestimmte Firewall-Management-Plattform zugeschnitten war.
Technisch setzt die Angriffskette an zwei Stellen an. Die PHP-Seite wird über ein Problem im Mechanismus „PHP’s session.upload_progress“ adressiert, das in den Schwachstellen CVE-2026-109618 und CVE-2026-109619 zusammengefasst ist. Für die Kernel-Seite wird eine lokale Privilegieneskalation ausgenutzt, die als CVE-2026-46300 mit einem CVSS-Score von 7,8 geführt wird. In den Beschreibungen fällt außerdem ein Praxisfaktor auf: Die betroffenen Geräte laufen demnach mit einer Firewall-Betriebssystembasis, die PHP 8.0.30 nutzt und eine hohe Speicherbegrenzung aufweist. Genau diese Kombination soll die Speicherkorruptions-Phasen des Angriffs begünstigen, was die Erfolgsquote bei realen Targets erhöht.
Die Forscher legen auch offen, wie das Exploit-Setup in dieser Kampagne realisiert wurde. Demnach handelt es sich bei der wiedergefundenen Implementierung um einen „custom, non-public build“, der laut dem untersuchenden Team nicht einfach eine Kopie eines öffentlichen PoC ist. Er folge zwar dem gleichen Grundkonzept wie öffentlich bekannte Angriffsmuster, sei jedoch unabhängig entwickelt und auf die Zielplattform maßgeschneidert worden. Das adressiert ein wiederkehrendes Problem aus der Praxis: Wenn Offset-Werte und Build-spezifische Komponenten variieren (etwa durch unterschiedliche libphp.so-Implementationen), wird ein Proof-of-Concept ohne Target-spezifische Anpassung schnell unbrauchbar. In den öffentlich diskutierten Herausforderungen wird genau dieser Punkt immer wieder genannt – im Kern: Ohne Zugriff auf die passenden Build-Details lassen sich Speicher-Offsets kaum zuverlässig „brute-force“-mäßig erzwingen.
Beim Vorgehen der Kampagne rückt dann die Angriffsautomatisierung in den Fokus. Der Ablauf startet demnach mit Internet-Fingerprinting: Mithilfe eines Dienstes wie FOFA sollen rund 19.000 internetexponierte Firewalls mit offenen Management-Schnittstellen identifiziert worden sein. Anschließend kommt ein eigener Version-Scanner zum Einsatz, der ermittelt, welche Geräte online sind und welche Betriebssystemversionen laufen. Etwa 5.000 Antworten liefern Versionsdetails; daraus wird die Reichweite auf Regionen zugeschnitten, die in den Ermittlungsunterlagen als U.S., Japan, Taiwan und South Korea bezeichnet werden, sowie auf Systeme, die zu neueren Release-Zweigen passen und explizit PHP 8.0.30 ausführen. Aus dieser Selektion ergeben sich 240 Zielsysteme, die dann in einem automatisierten Batch-Runner abgearbeitet werden – mit dem Platzieren einer PHP-Webshell auf einem öffentlich zugänglichen Verzeichnis, der Verifikation von Root-Zugriff und dem Logging von Hostname und IP in eine CSV-Datei.
Für die eigentliche Eskalation in Richtung Identitäts- und Berechtigungsinfrastruktur beschreibt der Bericht einen zweiten Schritt: Nachdem 24 Systeme erfolgreich übernommen wurden, sollen zwei davon einem Regierungsumfeld zuzuordnen gewesen sein. Ein Ziel sei kurz nach dem Rooten am 23. Oktober 2026 um 6:14 UTC abgestürzt und danach nicht mehr erreichbar gewesen, ein weiteres Ziel am 24. Oktober 2026 um 10:09 UTC kompromittiert worden. Der Pfad in das interne Netzwerk soll über einen Reverse-SSH-Tunnel erfolgen: Der kompromittierte Firewall-Host baut demnach eine persistente Rückverbindung zur Infrastruktur der Angreifer, sodass auch interne Systeme erreichbar werden. Ein drittes, nur über den Tunnel erreichbares internes Managementserver-System sei dem Bericht zufolge am 11:35 UTC desselben Tages kompromittiert worden, womit die Zahl der „rooted“ Server auf 25 steigt.
Besonders weitreichend sind die beschriebenen Schritte gegen Active Directory. Laut den Angaben sollen die Angreifer LDAP-Dienstkonten-Passwörter zu entschlüsseln versuchen, Nutzer auflisten und dann Passwort-Sprays gegen Benutzerkonten fahren – mit Passwörtern, die thematisch zur Organisation passen sollen. Zusätzlich wird das Erstellen von Backdoor-Accounts in Active Directory versucht. Ob dabei tatsächlich gültige Anmeldeinformationen oder funktionierende Hintertüren entstanden sind, bleibt jedoch unklar; die Forscher sprechen von einer indeterminierbaren Gesamtkompromittierung. Gleichzeitig betonen sie, dass 22 weitere kompromittierte Firewalls mit aktiven Webshells „parken“ würden und dass der persistente Tunnel in Richtung der betroffenen US-Organisation vermutlich noch aktiv war.
Auffällig ist schließlich die Rolle von KI-gestützten Entwicklungstools in der Infrastruktur. Die Hinweise reichen dem Bericht zufolge bis zur Installation von Claude Code in der Angriffsstruktur sowie zu API-Keys für FOFA und einem „AI-powered offensive security platform“ namens aiscan, das mit LLMs von DeepSeek und Kimi konfiguriert sein soll. Ebenso wird erwähnt, dass Code-Struktur, Kommentierungsstil und Konsistenz über knapp 40 Skripte darauf schließen lassen, dass KI die Entwicklung begleitete. Unabhängig davon, wie weit „KI“ im Sinne selbstständiger Ausführung geht, zeigt das Muster vor allem eines: KI beschleunigt den Engineering-Teil – von Skripten, Scannern und Anpassungen – während die eigentliche Wirkung durch Exploit-Ketten, Target-Validierung und persistente Zugänge entsteht.
Für Betreiber von Firewall- und Edge-Management-Systemen ergibt sich daraus eine klare Priorität: Management-Schnittstellen müssen als besonders hohes Risiko betrachtet werden, selbst wenn sie „nur“ administrativen Zugriff ermöglichen. In der Praxis entsteht der Angriffsweg häufig durch die Kombination aus öffentlich erreichbaren Interfaces, veralteten Komponenten und fehlender strenger Segmentierung, die einen Sprung von einer kompromittierten Geräteebene in die Identitätsdomäne begünstigt. Gleichzeitig unterstreicht der Bericht, dass PHP- und Kernel-Schwachstellen nicht isoliert betrachtet werden sollten: Erst das Zusammenspiel aus Web-Exploitation, Speicherfehlern und lokaler Privilegieneskalation macht aus einzelnen Lücken eine wiederholbare Angriffstechnik. Für Security-Teams heißt das vor allem: Kompromittierungsindikatoren wie Webshells, ungewöhnliche Reverse-Tunnel-Patterns und Active-Directory-bezogene Anmeldeversuche sollten im Monitoring engmaschig zusammengeführt werden.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell-Kettenangriff: 25 Root-Server, Active Directory und Webshells" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell-Kettenangriff: 25 Root-Server, Active Directory und Webshells" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell-Kettenangriff: 25 Root-Server, Active Directory und Webshells« bei Google Deutschland suchen, bei Bing oder Google News!