Исследователи Dream обнаружили кампанию, в ходе которой злоумышленники скомпрометировали 24 межсетевых экрана и внутренний сервер организации, связанной с правительством США. Атакующие получили root-доступ, похитили учётные данные LDAP и изучили структуру Active Directory.
Взлом стал возможен благодаря цепочке PHP2Shell (CVE-2026-109618 и CVE-2026-109619) и Linux-уязвимости Fragnesia. Уязвимый интерфейс управления позволил выполнить код без авторизации, повысить привилегии и проникнуть в корпоративную сеть.
Чтобы закрыть известный вектор атаки, необходимо обновить PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 в зависимости от используемой ветки. Встроенные версии PHP в сетевом оборудовании требуют отдельных исправлений производителя. После обновления стоит проверить журналы и исключить открытый доступ к интерфейсам управления.