Dream meldde dat een aanvaller met PHP2Shell en Fragnesia roottoegang kreeg tot 24 firewalls met Palo Alto Networks PAN-OS en één interne firewallbeheerserver. De campagne trof systemen in de Verenigde Staten, Japan, Taiwan en Zuid-Korea. Dream ontdekte op 25 oktober 2026 sporen van de campagne; de interne beheerserver werd volgens het onderzoek op 24 oktober aangevallen.
Een eerdere PHP2Shell-melding draaide om AWS-waarnemingen en SuperTuxKart. NeoTeo beschreef die eerdere kwestie.
Hoe PHP2Shell en Fragnesia werden gecombineerd
PHP2Shell bestaat uit de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. Dream beschreef een aangepaste, niet-openbare exploit die was gericht op de beheerwebserver van PAN-OS en PHP’s session.upload_progress-mechanisme. Die webserver verzorgt ook het GlobalProtect-portaal.
De exploit gaf de aanvaller volgens Dream eerst PHP-code-uitvoering als de beperkte gebruiker nobody. Daarna werd Fragnesia gebruikt, een kwetsbaarheid voor privilege-escalatie in de Linux-kernel met identificatie CVE-2026-46300. Daarmee verkreeg de aanvaller rootrechten.
Dream meldde PHP 8.0.30 in profielen van PAN-OS 12.1 en 12.2. In een PAN-OS 11.1-profiel met PHP 7.4.33 was PHP-code-uitvoering op afstand in een laboratorium getest; dat profiel was niet afgestemd op de volledige exploitketen.
Van firewalls naar een interne beheerserver
Dream beschreef een selectieproces waarbij ongeveer 19.000 blootgestelde firewalls werden gevonden. Ongeveer 5.000 daarvan gaven versie-informatie terug. Na filtering bleven 240 doelwitten over; op 24 firewalls kreeg de aanvaller roottoegang.
Op 22 van die firewalls trof Dream webshells aan, zonder verdere geregistreerde activiteit na de eerste toegang. Twee firewalls in een omgeving die gelieerd was aan de Amerikaanse overheid werden gebruikt voor een verdere stap het interne netwerk in. Daarvoor zette de aanvaller een omgekeerde SSH-tunnel op die acht interne poorten doorstuurde en volgens Dream na een herstart actief kon blijven.
De aanval op de interne firewallbeheerserver vond volgens Dream plaats op 24 oktober 2026 om 11.35 UTC. Dream telde die server als het 25e gecompromitteerde systeem. De datum waarop Dream campagneartefacten ontdekte, was 25 oktober.
Welke toegang Dream rapporteerde
Dream meldde dat de aanvaller een wachtwoord van een LDAP-serviceaccount ontsleutelde en gebruikers en groepen in Active Directory inventariseerde. In de teruggevonden artefacten vond Dream ook privésleutels die van PAN-OS-bestandssystemen waren gehaald en informatie over de netwerktopologie.
Dream kon niet vaststellen of pogingen tot password spraying, het aanmaken van achterdeuraccounts of het buitmaken van SAML-sleutels slaagden. De gerapporteerde toegang en inventarisatie zijn daarmee afzonderlijke bevindingen; de uitkomst van die vervolgacties bleef onbekend.
