Компания по кибербезопасности Dream сообщила об атаке 23–24 октября 2026 года на 24 доступных из интернета сетевых экрана в США, Японии, Тайване и Южной Корее. Злоумышленники получили полный доступ к этим устройствам, а затем взломали внутренний сервер управления одной организации, связанной с правительством США. Всего были скомпрометированы 25 систем.
Производителя сетевых экранов и уязвимые версии его программного обеспечения исследователи не раскрыли. Эксплойт был настроен под конкретные версии устройств неназванного крупного вендора, которого уведомили об атаке.
Как сработала атака
Злоумышленники объединили две уязвимости PHP, CVE-2026-109618 и CVE-2026-109619, с ошибкой Fragnesia в ядре Linux, обозначенной как CVE-2026-46300. Первая часть цепочки позволяла без учётной записи и пароля выполнить код через специально подготовленные веб-запросы, а вторая повышала привилегии до root. Вся последовательность от подключения до установки постоянного веб-шелла могла занимать менее 15 минут.
Читайте также
На большинстве взломанных сетевых экранов дальнейшей активности не обнаружили. Однако с одного устройства в организации, связанной с правительством США, атакующие проложили обратный SSH-туннель во внутреннюю сеть и взломали сервер централизованного управления. Они получили доступ к конфигурациям, настройкам и учётным данным сетевых экранов, извлекли пароль служебной записи LDAP и составили список пользователей и групп Active Directory. Успех попыток подобрать пароли и создать скрытые учётные записи не подтверждён.
В инфраструктуре атакующих также нашли платформу aiscan, настроенную на модели DeepSeek и Kimi, но прямых доказательств использования ИИ для создания эксплойтов или управления атакой нет.
Разработчики PHP закрыли две уязвимости 21 октября в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Администраторам доступных из интернета PHP-систем следует установить исправления и проверить журналы и серверы на следы компрометации, поскольку обновление не удалит уже созданный злоумышленниками доступ. Для сетевых устройств со встроенным PHP необходимо использовать прошивку или исправление производителя, а не самостоятельно заменять отдельные компоненты.