网络安全机构 Dream 近日披露了一起针对美国关联组织的重大网络攻击事件。攻击者利用 PHP2Shell 漏洞与 Linux 内核特权升级漏洞的组合，成功入侵并控制了约 25 台服务器，其中包括 Palo Alto Networks 防火墙设备。
PHP2Shell 漏洞的首次确认利用
PHP2Shell 指代 PHP 中两个严重漏洞的统称。鉴于 PHP 支撑着全球约 70% 的网站和应用程序，且当时尚无官方补丁，该漏洞曾引发广泛担忧，欧洲部分政府和教育机构甚至采取先发制人的措施关闭网站以规避风险。
尽管此前研究人员观察到大量探测行为，但一直未确认成功的入侵案例。Amazon 声称在补丁发布前四天发现了首次攻击尝试，Cloudflare 则在补丁发布前 10 小时追踪到数千次攻击，随后数量迅速激增至数百万级。虽然地址空间布局随机化等安全机制在一定程度上阻碍了利用过程，但威胁并未完全消除。
攻击链路与目标选择
据 Dream 报告，此次攻击始于 2026 年 10 月 23 日。攻击者首先扫描了美国、日本、台湾和韩国的企业，重点锁定运行旧版本易受攻击操作系统的 Palo Alto Networks PAN-OS 驱动设备。
攻击的核心在于将 PHP2Shell 与名为 Fragnesia 的本地特权升级漏洞（CVE-2026-46300）相结合。Fragnesia 于同年 5 月中旬被披露。通过这一组合，攻击者获得了 root 访问权限及持久性控制能力。
整个入侵过程极为迅速：从发起一个未经认证的 HTTPS 请求至管理界面开始，攻击者在不到 15 分钟内完成了从未授权连接到持续 Root Webshell 的部署。随后，攻击者运行了约 40 个自定义后利用脚本，渗透内部网络，并利用相同的 PHP2Shell 漏洞攻陷第三台服务器，最终发起了全面的 Active Directory 攻击活动。
AI 辅助与自动化程度
研究人员指出，目前尚不清楚攻击的最终目的，但在回收的数字证据中未发现明确迹象，推测可能涉及持续访问或身份盗窃。值得注意的是，尽管“黑色十月”期间自动化攻击显著增加，但本次行动并非完全自动化。
Dream 发现攻击者使用了人工智能工具辅助作业，包括安装 Claude Code 以及配置中国 AI 模型 DeepSeek 和 Kimi 的攻击性安全平台 AIscan。此外，攻击者还获取了 FOFA API 密钥。FOFA 是一款类似 Shodan 的中国搜索引擎，借助它，攻击者识别出约 19,000 台互联网连接的 Palo Alto Networks 防火墙，并将其作为主要攻击起点。
