นักวิจัยของ Dream รายงานว่า นักโจมตีที่สงสัยว่าเป็นชาวจีนได้เชื่อมโยง PHP2Shell เข้ากับ exploit การยกระดับสิทธิ์ใน Linux kernel เพื่อเข้าควบคุมเซิร์ฟเวอร์ 25 เครื่อง ซึ่งรวมถึงไฟร์วอลล์ของ Palo Alto Networks ที่เชื่อมโยงกับองค์กรของรัฐบาลสหรัฐฯ
ภายในไม่กี่ชั่วโมงหลังจากเจาะไฟร์วอลล์ พวกเขาได้ทะลุเข้าไปในเครือข่ายภายใน เจาะเซิร์ฟเวอร์ที่สามด้วย PHP2Shell และเริ่มปฏิบัติการโจมตี Active Directory เต็มรูปแบบ ทั้งหมดนี้เริ่มต้นจากคำขอ HTTPS ที่ไม่ผ่านการยืนยันไปยังอินเทอร์เฟซจัดการที่ไม่ควรเปิดสู่สาธารณะ
การโจมตีทั้งหมดเกิดขึ้นในเวลาไม่ถึง 15 นาที โดยใช้ประโยชน์จาก PHP2Shell ที่มีช่องโหว่ CVE-2026-109618 และ CVE-2026-109619
ขั้นตอนการโจมี้ประกอบด้วยการส่ง multipart POST requests เพื่อทำให้หน่วยความจำของ PHP เสียหาย จากนั้นใช้คำขอที่สองเพื่อบังคับให้อ่านหน่วยความจำนอกขอบเขตและเปิดเผย base address ของ libphp.so ก่อนจะเข้าสู่ขั้นตอนสุดท้ายเพื่อรันคำสั่งในฐานะผู้ใช้ nobody
นักวิจัยยังพบว่ามีการติดตั้ง Claude Code ของ Anthropic และใช้แพลตฟอร์มรักษาความปลอดภัยเชิงรุกที่ขับเคลื่อนด้วย AI ชื่อ aiscan ซึ่งตั้งค่าด้วยโมเดลของจีนอย่าง DeepSeek และ Kimi รวมถึง API keys สำหรับบริการลาดตระเวน FOFA
ศัพท์ที่ควรรู้
- PHP2Shell – เป็นช่องโหว่ที่ถูกใช้ในการโจมตีเพื่อเข้าควบคุมเซิร์ฟเวอร์ผ่าน PHP
- CVE-2026-109618 และ CVE-2026-109619 – คือรหัสที่ระบุถึงช่องโหว่ด้านความปลอดภัยเฉพาะเจาะจงใน PHP2Shell
- Linux kernel privilege-escalation exploit – คือ exploit ที่ใช้ในการยกระดับสิทธิ์จากผู้ใช้ทั่วไปเป็นผู้ดูแลระบบในระบบปฏิบัติการ Linux
- Active Directory – คือบริการไดเรกทอรีที่ใช้ในการจัดการและควบคุมทรัพยากรในเครือข่ายองค์กร
- Claude Code, DeepSeek, Kimi – คือโมเดล AI ที่ถูกนำมาใช้ในแพลตฟอร์มรักษาความปลอดภัยเชิงรุกในการโจมตี
ที่มา: The Register