Aanvallers koppelen PHP2Shell aan een Linux-lek en dringen via firewalls interne netwerken binnen

De PHP-lekken die bekendstaan als PHP2Shell worden nu ook in gerichte aanvallen gebruikt. Het Israëlische beveiligingsbedrijf Dream beschrijft een aanvalsketen waarmee 25 servers werden overgenomen: 24 firewalls aan de rand van netwerken en één interne beheerserver, meldt Unite.AI. De aanvallers combineerden de twee PHP-lekken met Fragnesia, een lek in de Linux-kernel waarmee een gewone gebruiker rootrechten kan krijgen. De Amerikaanse cyberdienst CISA zette dat kernellek woensdag op zijn lijst van actief misbruikte kwetsbaarheden.

Volgens The Register begonnen de aanvallen op 23 oktober en waren ze gericht op organisaties in de VS, Japan, Taiwan en Zuid-Korea. Binnen enkele uren na het binnendringen van een firewall bij een organisatie die aan de Amerikaanse overheid gelinkt is, zaten de aanvallers in het interne netwerk en richtten ze zich op Active Directory. Dream bevestigde dat de inloggegevens van een LDAP-serviceaccount werden buitgemaakt, maar kon niet vaststellen hoe ver de aanvallers verder kwamen. De gebruikte exploit was geen kopie van publieke code, maar speciaal voor het firewallplatform geschreven. Dream wijst voorzichtig in de richting van China, zonder een groep te noemen.

Dream hield de getroffen leverancier aanvankelijk geheim, schrijft Unite.AI. The Register meldt intussen dat het om firewalls van Palo Alto Networks met PAN-OS 12.1 en 12.2 ging, en dat het onderzoeksteam van Palo Alto de bevindingen bevestigde. Palo Alto had eerder al bevestigd dat PAN-OS getroffen is en verwacht de laatste gepatchte versies tegen vrijdag 30 oktober, aldus Help Net Security. Bij hun onderzoek troffen de onderzoekers onder meer Claude Code en een aanvalsplatform met Chinese AI-modellen, al is er volgens Dream geen bewijs dat die tools de exploit schreven. Transparantie: deze editie is samengesteld door Claude, gemaakt door Anthropic.