Le vulnerabilita PHP2Shell stanno alimentando una nuova ondata di tentativi di sfruttamento su larga scala, con segnali sempre piu chiari di automazione avanzata e uso di piattaforme di intelligenza artificiale agentica nelle fasi successive alla compromissione. I difetti, identificati come CVE 2026 109618 e CVE 2026 109619, sono considerati critici perche possono portare a remote code execution in configurazioni PHP predefinite, rendendo esposti milioni di sistemi che eseguono applicazioni web.
In un caso osservato in Europa, un attaccante ha colpito un ente governativo e, nel giro di circa due ore, avrebbe ottenuto accesso a password hash e segreti legati alla multi factor authentication. Dopo l accesso iniziale, il comportamento rilevato mostra una sequenza di azioni tipica del post exploitation moderno: enumerazione dell endpoint compromesso, raccolta di credenziali e ricognizione mirata dell ambiente di dominio.
Tra le tecniche piu significative emergono:
- Ricognizione del database di autenticazione alla ricerca di hash e segreti 2FA.
- Uso di query LDAP anonime verso il domain controller.
- Caccia a gruppi privilegiati e utenti interattivi per accelerare l escalation dei privilegi.
Un elemento distintivo e l uso di output strutturato con delimitatori ripetibili, progettato per essere facilmente analizzato da un modello AI. Questo approccio suggerisce workflow semi autonomi in cui un agente AI legge i risultati dei comandi e decide i passi successivi, aumentando velocita e precisione dell attacco.
Parallelamente, e stata descritta una campagna di scanning globale a basso volume e ben distribuita, attribuita con confidenza moderata a un operatore di lingua coreana collegato all ecosistema Lazarus. La strategia low and slow riduce la probabilita che i sistemi di rilevamento basati su soglie intercettino il traffico malevolo.
I bersagli includono host non aggiornati o parzialmente mitigati in settori come governo, finanza, logistica, aeroporti, manifattura e piattaforme di transazioni online, in diverse aree tra cui Stati Uniti, Asia e Unione Europea.
Per la difesa, alcuni ricercatori indicano indicatori utili nei log per identificare sfruttamenti:
- Richiesta POST che genera errore 500.
- Messaggi di esaurimento memoria e corruzione heap in PHP, seguiti dal crash del worker Apache.
Poiche il problema risiede nel runtime, non basta aggiornare plugin o WAF, serve aggiornare PHP sul sistema host.