Китайских хакеров обвинили во взломе серверов в США, Японии, на Тайване и в Южной Корее через уязвимости PHP и Linux

Израильская компания Dream описала атаку, в ходе которой предположительно связанная с Китаем группировка получила права суперпользователя на 25 межсетевых экранах в США, Японии, на Тайване и в Южной Корее. Среди пострадавших оказалась организация, связанная с правительством США, и в её инфраструктуре злоумышленники добрались до Active Directory. В инструментах и коде атакующих нашли признаки использования ИИ.

Об инциденте 28 октября 2026 года сообщило издание The Hacker News со ссылкой на исследование Dream. Активность зафиксировали 25 октября.

Связка уязвимостей открыла путь к root

Первая уязвимость позволяла выполнить произвольный код удалённо, вторая повышала привилегии до уровня root. Для проникновения использовали ошибки PHP под общим названием PHP2Shell, а права суперпользователя получили через уязвимость ядра Linux, и исследователи привели их параметры:

• CVE-2026-109618 в PHP при определённых условиях позволяет выполнять код без аутентификации и получила оценку CVSS 9,2 из 10;
• CVE-2026-109619 входит в тот же набор PHP2Shell и оценена в 9,2 из 10;
• CVE-2026-46300 (Fragnesia) затрагивает ядро Linux, позволяет локальному пользователю повысить привилегии и оценивается в 7,8 балла.

Dream выяснила, что атакующие написали собственную реализацию эксплойта PHP2Shell, адаптированную под конкретную платформу межсетевого экрана. Уязвимость затрагивала механизм session.upload_progress в PHP на сервере управления appweb, а на изученных устройствах работала PHP 8.0.30. Производителя межсетевых экранов исследователи не назвали, но отметили, что компания уведомила пострадавшую организацию.

От 19 тысяч устройств до 240 целей

Злоумышленник применил FOFA, поисковую платформу для обнаружения доступных из интернета устройств, и нашёл около 19 тысяч межсетевых экранов с открытыми интерфейсами управления. Затем он запустил собственный сканер и сузил круг целей:

• сканер проверил доступность устройств и определил версии систем;
• около 5000 устройств ответили данными о версиях ПО;
• после фильтрации по географии и версиям платформы осталось 240 потенциальных целей.

Пакетный инструмент запускал цепочку PHP2Shell и Fragnesia, размещал PHP-веб-шелл в каталоге межсетевого экрана, проверял наличие прав root и сохранял сведения об успешно взломанных узлах. В итоге атакующий получил полный контроль над 24 серверами, а последнее устройство взломал позднее через уже созданный канал во внутреннюю сеть.

Взлом экрана привёл к атаке на Active Directory

После компрометации одного из межсетевых экранов злоумышленник организовал обратный SSH-туннель к собственной инфраструктуре и получил доступ к внутренним системам через захваченное устройство. Позднее через туннель взломали внутренний межсетевой экран, недоступный напрямую из интернета.

Получив доступ к внутренней сети, злоумышленник переключился на Active Directory, службу каталогов Microsoft для управления учётными записями и правами доступа. Исследователи нашли признаки извлечения учётных данных, перечисления пользователей и подбора паролей, составленных с учётом тематики и названий организации, а атакующий пытался создать резервные учётные записи. Подтвердить получение действующих паролей или создание новых учётных записей исследователи не смогли, поэтому масштаб компрометации остаётся неизвестным.

Следы ИИ в арсенале атакующего

На возможное применение ИИ указали находки в инфраструктуре злоумышленника:

• установленный Claude Code от Anthropic;
• ключи API для FOFA и инструмента автоматизации aiscan, настроенного на модели DeepSeek и Kimi;
• почти 40 скриптов, где структура кода, стиль комментариев и единообразие реализации намекают на участие ИИ.

По оценке Dream, ИИ мог помогать в разработке инструментов и автоматизации отдельных этапов. Наличие ИИ-инструментов не доказывает, что атака была автономной или что нейросети сами выбирали цели. Dream связала операцию с предположительно китайским кибершпионажем и указала на выбор целей в странах Тихоокеанского региона, но опубликованных данных не хватает, чтобы назвать конкретную группировку.

Доступ к устройствам может сохраняться

На 22 взломанных межсетевых экранах веб-шеллы остались активными, а канал во внутреннюю сеть американской организации, по предположению исследователей, работал на момент публикации отчёта. У атакующего остался и список из 19 тысяч обнаруженных устройств.

Россия в перечне целей не значилась, но PHP и Linux широко распространены и в российской инфраструктуре. Организациям, использующим подобные устройства, необходимо проверить следующее:

• доступность интерфейсов управления из интернета;
• наличие исправлений для затронутых компонентов;
• системы на неизвестные веб-шеллы и SSH-туннели;
• журналы Active Directory на массовые попытки входа и новых привилегированных пользователей.

Эксперты CISOCLUB отметили, что инцидент показывает привычную слабость периметра, когда интерфейс управления межсетевого экрана доступен из интернета, а исправления для PHP и ядра Linux устанавливаются с задержкой. Захват пограничного устройства быстро превращается в доступ к системе идентификации, поэтому защиту Active Directory следует выстраивать с той же строгостью, что и защиту периметра.

Управление сетевыми устройствами лучше закрыть от внешнего доступа и оставить только через VPN или отдельный сегмент с ограниченным списком адресов. Использование ИИ снижает порог входа для атакующих, ускоряет написание эксплойтов под конкретную платформу и масштабирует разведку. Российским компаниям стоит исходить из того, что открытые интерфейсы управления видны поисковым платформам в той же мере, что и устройства организаций из США или Японии.

Ранее сообщалось, что ИИ-модель Qwen3-Coder компании Alibaba генерировала веб-приложения, которые оказывались уязвимее при указании американского оборонного подрядчика в качестве заказчика. Согласно результатам исследования израильской компании Hirundo, специалистам удалось успешно атаковать 70% приложений, созданных для американской организации, и 59% — для китайской. Эксперимент проводился в лабораторных условиях и не свидетельствует о взломе реальных компаний. Опубликованные результаты также не подтверждают, что разработчики намеренно встроили уязвимости в модель.