PHP2Shell explorado em ataques a servidores

Um grupo de atacantes com possíveis ligações à China explorou as vulnerabilidades PHP2Shell para comprometer 25 servidores, incluindo sistemas associados a uma organização governamental norte-americana. Segundo a empresa de cibersegurança Dream, os ataques combinaram falhas críticas no PHP com uma vulnerabilidade no kernel Linux, permitindo obter privilégios de administrador e estabelecer acessos persistentes às infraestruturas comprometidas.

A campanha, identificada pelos investigadores da Dream, decorreu entre 23 e 24 de outubro e explorou as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell, em conjunto com a CVE-2026-46300, denominada Fragnesia.

Esta última corresponde a uma falha de escalada de privilégios no kernel Linux, que permite aos atacantes obter acesso root depois de conseguirem executar código num sistema vulnerável.

Atacantes identificaram 19 mil firewalls expostas

De acordo com a investigação, os atacantes recorreram ao motor de pesquisa chinês FOFA para identificar cerca de 19 mil firewalls com interfaces de gestão expostas à Internet.

A seleção inicial foi posteriormente reduzida a sistemas localizados nos Estados Unidos, Japão, Taiwan e Coreia do Sul. Depois de identificarem as versões de software potencialmente vulneráveis, os atacantes selecionaram 240 dispositivos como alvos da operação.

Com recurso a uma ferramenta automatizada, exploraram a cadeia de vulnerabilidades PHP2Shell e Fragnesia, conseguindo comprometer 24 firewalls e instalar webshells com privilégios root para manter o acesso aos sistemas.

Em 22 destes dispositivos não foram identificadas atividades adicionais de exploração. No entanto, os atacantes avançaram para outras fases da operação em dois sistemas associados a uma organização governamental dos EUA.

Ataques permitiram acesso à infraestrutura interna

A primeira firewall comprometida deixou de responder pouco depois do ataque, a 23 de outubro. Segundo a Dream, os atacantes realizaram 240 tentativas automatizadas de contacto durante duas horas, procurando verificar se o dispositivo recuperava.

No dia seguinte, uma segunda operação permitiu comprometer outra firewall da mesma organização.

Para manter o acesso, os atacantes estabeleceram um túnel SSH inverso, que utilizaram para alcançar um servidor interno responsável pela gestão centralizada das firewalls.

Através da mesma cadeia de vulnerabilidades, conseguiram comprometer este servidor, elevando para 25 o número total de sistemas afetados.

O acesso ao servidor de gestão permitiu obter configurações, credenciais e informações sobre os dispositivos de segurança administrados pela organização.

Os atacantes conseguiram ainda extrair e desencriptar a palavra-passe de uma conta de serviço LDAP, identificar utilizadores e grupos do domínio e realizar tentativas de autenticação através de password spraying.

A investigação identificou igualmente tentativas de criação de contas de acesso não autorizado no Active Directory. No entanto, não foi possível determinar se estas operações foram bem-sucedidas.

Investigadores apontam possíveis ligações à China

A Dream não atribuiu a campanha a um grupo de atacantes específico, mas considera que existem indicadores compatíveis com uma operação associada à China.

Entre os elementos identificados estão a utilização do motor de pesquisa FOFA, ferramentas desenvolvidas na China e a concentração dos ataques em quatro países frequentemente visados por operações de ciberespionagem associadas a interesses chineses.

Apesar destes indícios, a origem da campanha permanece por confirmar.

A investigação encontrou também ferramentas de Inteligência Artificial na infraestrutura utilizada pelos atacantes, incluindo o Claude Code e uma plataforma configurada para utilizar os modelos DeepSeek e Kimi. Contudo, não existem provas diretas de que estas ferramentas tenham sido utilizadas para desenvolver os exploits.