以色列 AI 网络安全初创公司 Dream 的研究人员近日披露，疑似中国攻击者利用自定义的 PHP2Shell 漏洞与 Linux 内核特权升级漏洞构建攻击链，成功入侵了包括与美国政府关联的 Palo Alto Networks 防火墙在内的 25 台服务器。
据报告描述，攻击始于 10 月 23 日，目标涵盖美国、日本、台湾和韩国的组织。在突破美国政府关联防火墙后的数小时内，攻击者迅速渗透至内部网络，利用同一 PHP2Shell 漏洞攻陷第三台服务器，并发起全面的 Active Directory（活动目录）攻击。Dream 指出，整个入侵过程由单一入口点触发，且攻击者目前可能仍保有对受侵网络的远程访问权限。
15 分钟完成从外部连接到 Root 权限获取
此次攻击的核心在于一条定制化的漏洞利用链，结合了 PHP2Shell 和 Fragnesia 内核漏洞。PHP2Shell 涉及 CVE-2026-109618 和 CVE-2026-109619 两个高危漏洞，CVSS 评分均为 9.2，允许在未认证的情况下于易受攻击的 PHP 服务器上执行代码。尽管 GitHub 上存在大量 PHP2Shell 的概念验证库，但 Dream 分析认为，本次使用的漏洞并非已知公开漏洞的简单复制，而是针对特定防火墙平台独立开发并量身定制的工具。
攻击者将 PHP2Shell 与 Fragnesia (CVE-2026-46300) 相结合。Fragnesia 是一个影响 Linux 内核 XFRM ESP-in-TCP 子系统的严重本地特权升级漏洞，美国网络安全和基础设施安全局 (CISA) 已于周三将其列入已知漏洞目录。帕洛阿尔托网络公司的第 42 号部门研究人员已独立验证了相关工具并证实了 Dream 的报告结果。
被攻破的防火墙运行着脆弱版本的 PAN-OS（具体为 12.1 和 12.2 版本），配置有 PHP 8.0.30 及高内存限制，这为漏洞利用中的内存破坏阶段提供了条件。整个攻击链条——从未经验证的 HTTPS 连接建立到植入持久化 root webshell——耗时不到 15 分钟。
四步实现提权与驻留
Dream 详细拆解了攻击者的操作逻辑，主要分为四个步骤：
- 内存破坏与布局预测：首先，攻击者发送精心构造的多部分 POST 请求淹没服务器，以破坏 PHP 内存结构，强制预测内存布局。
- 信息泄露：第二个请求利用前一阶段的内存损坏，伪造陈旧的会话 ID 长度，触发超限读取，从而在运行时暴露 libphp.so 的基本地址。
- 引用伪造与命令执行：再次耗尽 PHP 内存以强制 mod_data=NULL，创建一个过时的引用。在最后阶段，攻击者伪造该引用，使其能够以无人用户身份执行命令。
- 提权与 Webshell 植入：利用 Fragnesia 漏洞提升至 root 权限，并将 Web shell 植入防火墙上的公开目录。
在获得防火墙控制权后，攻击者深入探索 Active Directory 环境，窃取凭证及其他敏感信息。凭借 root 权限，攻击者获取了解密 LDAP 服务账户密码的主密钥。此外，他们通过 LDAP 查询枚举域内所有用户和组，并对每个用户账户实施密码喷洒攻击。报告还提到，攻击者试图创建后门 AD 账户并提取 SAML 签名密钥，但目前尚不清楚这些尝试是否成功，因为相关结果仅保留在管理服务器的本地文件系统中，未包含在 Dream 恢复的数字证据中。
AI 辅助与大规模侦察
调查中发现攻击者使用了人工智能工具辅助行动，但强调这并非完全自主的攻击流程。研究人员在环境中发现了 Anthropic 安装的 Claude Code、名为 aiscan 的 AI 攻击性安全平台，以及配置了中国 DeepSeek 和 Kimi 模型的相关痕迹。此外，攻击者还持有 FOFA 侦察服务的 API 密钥。
FOFA 是一款类似于 Shodan 的中国互联网资产搜索引擎。攻击者利用它识别出全球约 19,000 个面向互联网的 Palo Alto Networks 防火墙作为潜在目标。Dream 警告称，由于攻击者手中仍握有这 19,000 个指纹目标，随着其开发出针对其他 PAN-OS 版本的配置文件，未来仍存在重新访问的风险。
值得注意的是，在 10 月 23 日首次对美国某政府防火墙发起根源攻击时，该设备因遭受约 900MB 的漏洞流量冲击而崩溃。尽管经过 2 小时内的 240 次自动检查，设备仍未响应。攻击者随后于 10 月 24 日成功利用了第二台防火墙。对于此事，美国情报局和联邦调查局均拒绝发表评论。
