China-Hacker nutzen PHP2Shell, um Firewalls auszuschalten
PHP2Shell macht nicht nur Webserver angreifbar. Ein mutmaßlich China-naher Angreifer hat die Sicherheitslücken in PHP und Bugs im Linux-Kernel kombiniert, um Firewalls zu übernehmen und sich Zugriff auf interne Unternehmensnetze zu verschaffen.
Die Angriffe nutzten eine Exploit-Kette aus zwei als PHP2Shell bezeichneten Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 sowie einer weiteren Sicherheitslücke im Linux-Kernel. Letztere, bekannt unter der Bezeichnung Fragnesia (CVE-2026-46300), ermöglicht eine Ausweitung von Benutzerrechten. Durch die Kombination der Schwachstellen konnten die Angreifer zunächst Systeme kompromittieren und anschließend Root-Rechte auf diesen erlangen.
Für die Suche nach geeigneten Zielen verwendeten die Hacker die chinesische Suchmaschine FOFA, mit der sich im Internet erreichbare Geräte und Dienste mit den gewünschten Konfigurationen aufspüren lassen. Auf diese Weise identifizierten sie rund 19.000 öffentlich erreichbare Firewalls eines bestimmten Herstellers. Nach einer Vorauswahl von Systemen in den USA, Japan, Taiwan und Südkorea sowie einer weiteren Filterung nach neueren PHP-Versionen blieben 240 potenzielle Ziele übrig, berichteten die Sicherheitsforscher.
Am 23. und 24. Oktober 2026 griffen die Angreifer schließlich 25 Firewalls automatisiert an. Bei 24 Geräten gelang es ihnen laut Dream, eine PHP-basierte Webshell mit Root-Rechten zu installieren. Diese ermöglichte einen dauerhaften Fernzugriff. Auf 22 der kompromittierten Systeme beobachteten die Sicherheitsforscher dann aber keine weiteren Aktivitäten.
Dort richteten sie einen umgekehrten SSH-Tunnel ein, über den sie einen internen Firewall-Verwaltungsserver kompromittierten. Anschließend konnten sie auf Firewall-Konfigurationen, Zugangsdaten und weitere Einstellungen zugreifen. Darüber hinaus entschlüsselten sie das Passwort eines LDAP-Dienstkontos, untersuchten Benutzer und Gruppen der Domäne, führten automatisierte Passwort-Spraying-Angriffe durch und versuchten, Hintertüren in Form zusätzlicher Active-Directory-Konten einzurichten.
Dream ordnet die Aktivitäten keiner konkreten Hackergruppe zu. Die Konzentration auf die USA, Japan, Taiwan und Südkorea spreche jedoch für eine mögliche staatlich unterstützte Operation mit chinesischem Hintergrund. Diese Länder gelten als wichtige strategische Gegenspieler und Aufklärungsziele Chinas im pazifischen Raum.
Siehe auch:
- Angreifer drangen in Systeme einer US-regierungsnahen Organisation ein
- Eine Kette aus PHP2Shell und einer Linux-Kernel-Lücke verlieh Root-Rechte
- Mittels FOFA identifizierten die Täter zunächst 19.000 Firewalls im Netz
- Bei 24 attackierten Geräten installierten die Hacker dauerhafte Webshells
- Ein interner Verwaltungsserver wurde über einen SSH-Tunnel kompromittiert
- Zugangsdaten sowie Konfigurationen aller verwalteten Firewalls wurden erbeutet
- Die Länderauswahl deutet auf eine staatliche chinesische Operation hin
Angriff auf US-Behörde
Nach Angaben des Cybersicherheitsunternehmens Dream gelang es den Angreifern dabei, auch in die Verwaltungssysteme einer US-regierungsnahen Organisation einzudringen. Dadurch konnten sie unter anderem auf Konfigurationen und Zugangsdaten sämtlicher von dieser Organisation verwalteter Firewalls zugreifen.Die Angriffe nutzten eine Exploit-Kette aus zwei als PHP2Shell bezeichneten Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 sowie einer weiteren Sicherheitslücke im Linux-Kernel. Letztere, bekannt unter der Bezeichnung Fragnesia (CVE-2026-46300), ermöglicht eine Ausweitung von Benutzerrechten. Durch die Kombination der Schwachstellen konnten die Angreifer zunächst Systeme kompromittieren und anschließend Root-Rechte auf diesen erlangen.
Für die Suche nach geeigneten Zielen verwendeten die Hacker die chinesische Suchmaschine FOFA, mit der sich im Internet erreichbare Geräte und Dienste mit den gewünschten Konfigurationen aufspüren lassen. Auf diese Weise identifizierten sie rund 19.000 öffentlich erreichbare Firewalls eines bestimmten Herstellers. Nach einer Vorauswahl von Systemen in den USA, Japan, Taiwan und Südkorea sowie einer weiteren Filterung nach neueren PHP-Versionen blieben 240 potenzielle Ziele übrig, berichteten die Sicherheitsforscher.
Am 23. und 24. Oktober 2026 griffen die Angreifer schließlich 25 Firewalls automatisiert an. Bei 24 Geräten gelang es ihnen laut Dream, eine PHP-basierte Webshell mit Root-Rechten zu installieren. Diese ermöglichte einen dauerhaften Fernzugriff. Auf 22 der kompromittierten Systeme beobachteten die Sicherheitsforscher dann aber keine weiteren Aktivitäten.
Gezieltes Vorgehen
Anders verliefen die Angriffe auf zwei Server in einer US-regierungsnahen Umgebung. Nachdem der erste Server kurz nach der Kompromittierung abgestürzt war, überwachten ihn die Angreifer mit 240 automatisierten Anfragen über einen Zeitraum von zwei Stunden. Da das System nicht wieder erreichbar wurde, starteten sie am folgenden Tag eine weitere Angriffswelle gegen ein zweites Ziel.Dort richteten sie einen umgekehrten SSH-Tunnel ein, über den sie einen internen Firewall-Verwaltungsserver kompromittierten. Anschließend konnten sie auf Firewall-Konfigurationen, Zugangsdaten und weitere Einstellungen zugreifen. Darüber hinaus entschlüsselten sie das Passwort eines LDAP-Dienstkontos, untersuchten Benutzer und Gruppen der Domäne, führten automatisierte Passwort-Spraying-Angriffe durch und versuchten, Hintertüren in Form zusätzlicher Active-Directory-Konten einzurichten.
Dream ordnet die Aktivitäten keiner konkreten Hackergruppe zu. Die Konzentration auf die USA, Japan, Taiwan und Südkorea spreche jedoch für eine mögliche staatlich unterstützte Operation mit chinesischem Hintergrund. Diese Länder gelten als wichtige strategische Gegenspieler und Aufklärungsziele Chinas im pazifischen Raum.
Siehe auch:
Thema:
Christian KahleRedakteur für Forschung, Energie und Raumfahrt
Begleitet die IT-Branche seit dem Dotcom-Boom, Informatik studierte er in Berlin. Sein Spektrum reicht von Quantencomputern über Solarstrom bis zur Raumfahrt.
