W kampanii opisanej przez Dream napastnicy uzyskali uprawnienia administratora (root) na 24 zaporach sieciowych Palo Alto Networks z systemem PAN-OS oraz na jednym wewnętrznym serwerze zarządzania zaporami. Atak na serwer miał miejsce 24 października 2026 r., a Dream odkrył artefakty kampanii dzień później.
24 zapory i jeden serwer wewnętrzny
Dream podał, że zaatakowane zapory znajdowały się w Stanach Zjednoczonych, Japonii, na Tajwanie i w Korei Południowej. Łącznie napastnicy uzyskali dostęp do 25 systemów: 24 zapór oraz jednego wewnętrznego serwera zarządzania.
Kampania zaczęła się od wyszukania odsłoniętych urządzeń. Dream opisał około 19 tys. znalezionych zapór, z których około 5 tys. zwróciło informacje o wersji oprogramowania. Po filtrowaniu lista celów liczyła 240 urządzeń; na 24 z nich napastnicy uzyskali uprawnienia root.
Wcześniejszy artykuł NeoTeo o próbach PHP2Shell i SuperTuxKart dotyczył prób odnotowanych przez AWS oraz zapowiedzianej zmiany haseł. Dream opisał osobną kampanię wymierzoną w zapory PAN-OS.
Jak PHP2Shell i Fragnesia doprowadziły do dostępu root
Według Dream napastnicy użyli niestandardowej, niepublicznej implementacji PHP2Shell, przygotowanej pod serwer zarządzający PAN-OS. Serwer ten obsługuje również portal GlobalProtect. Wykorzystanie PHP2Shell wiązało się z obsługą session.upload_progress, czyli mechanizmem śledzącym postęp przesyłania plików w PHP. Luki PHP2Shell to CVE-2026-109618 i CVE-2026-109619.
Łańcuch ataku prowadził od wykonania kodu PHP z ograniczonymi uprawnieniami użytkownika nobody do eskalacji uprawnień przez Fragnesia, lukę w jądrze Linux o identyfikatorze CVE-2026-46300. W efekcie napastnicy uzyskali uprawnienia root.
Dream wskazał profile z PHP 8.0.30 w PAN-OS 12.1 i 12.2. Na profilu PAN-OS 11.1 z PHP 7.4.33 w laboratorium sprawdzono zdalne wykonanie kodu PHP jako użytkownik nobody; ten profil nie był skalibrowany dla całego łańcucha. Według Dream zespół Unit 42, należący do Palo Alto Networks, niezależnie zweryfikował narzędzia napastników i wyniki kampanii.
Tunel do sieci wewnętrznej i dane katalogowe
Po przejęciu dwóch zapór napastnicy wykorzystali odwrotny tunel SSH, aby dotrzeć do usług wewnętrznych, w tym do serwera zarządzania. Tunel przekazywał osiem portów i był skonfigurowany tak, by przetrwać ponowne uruchomienie systemu.
Dream znalazł webshell na 22 z 24 przejętych zapór i nie odnotował na nich dalszej aktywności poza początkowym dostępem. Dwie pozostałe zapory, powiązane ze środowiskiem instytucji związanej z rządem USA, posłużyły do dalszego ruchu w sieci. Wśród odzyskanych artefaktów były też klucze prywatne i informacje o topologii sieci.
Dream podał, że napastnicy odszyfrowali hasło konta usługi LDAP i wyliczyli użytkowników oraz grupy Active Directory. Nie ustalił, czy powodzeniem zakończyły się późniejsze próby password sprayingu, tworzenia kont backdoor lub kradzieży kluczy podpisujących SAML.
