Chained PHP2Shell 和 Fragnesia 漏洞利用活动分析

执行摘要

一场协调一致、极有可能由国家支持的网络攻击活动成功入侵了 25 台服务器，其中包括美国政府关联环境中的系统。攻击者通过将自定义的 PHP2Shell 漏洞利用与 Linux 内核提权漏洞相结合，实现了这一目标。攻击者利用自动化侦察和针对特定版本的漏洞利用配置，从边界防火墙渗透至内部身份基础设施，展现了极高的操作成熟度。

攻击链：PHP2Shell 和 Fragnesia

攻击者开发了一个两阶段的漏洞利用链，能够通过单个未经身份验证的 HTTP 请求在目标防火墙上获得 root 权限。该链通过结合内存损坏和内核级提权，绕过了标准的安全控制。

PHP2Shell (CVE-2026-109618 / CVE-2026-109619)

该组件针对 PHP 8.0.30 中的 session.upload_progress 机制。攻击分为四个不同阶段执行：

内存耗尽： 通过大量多部分 POST 请求淹没服务器，以强制实现可预测的内存布局。
信息泄露： 触发越界读取以泄露 libphp.so 的基地址。
陈旧引用设置： 在内存中创建一个伪造的 zend_reference。
代码执行： 伪造一个 PHP HashTable 条目以指向 zif_system，从而以 nobody 用户身份执行任意命令。

Fragnesia (CVE-2026-46300)

由于初始代码执行受到 SELinux 的限制，攻击者链接了第二个针对 Linux 内核 XFRM ESP-in-TCP 子系统的漏洞。这允许攻击者使用 pam_permit.so 覆盖 /etc/pam.d/su，从而通过 su root 实现无需密码的 root 访问。

操作方法

攻击者采用了一种结构化的自动化漏斗来识别和入侵目标，从广泛的发现转向高价值的利用。

目标定位： 攻击者使用 FOFA 搜索引擎识别了 19,000 台面向互联网的防火墙。他们将其筛选为美国、日本、台湾和韩国的 240 个高价值目标。
版本分析： 攻击者维护了 11 个基于 JSON 的版本配置文件。这些配置文件包含针对不同防火墙操作系统版本的精确内存偏移量和几何参数，实现了自动化、可靠的漏洞利用。
持久化与横向移动： 一旦防火墙被攻破，攻击者就会建立持久的反向 SSH 隧道。这提供了对内部管理服务器的访问权限，随后被用于对 Active Directory 发起攻击，包括凭据提取和用户枚举。

AI 辅助开发

虽然该行动看起来并非完全自主，但有证据表明在漏洞利用基础设施的开发过程中得到了 AI 的显著辅助。恢复的工件包括使用 DeepSeek 和 Kimi LLM 的 aiscan 平台配置，以及 Claude Code 的存在。大约 40 个自定义后渗透脚本的一致性表明，AI 可能在代码结构和生成方面提供了帮助。

社区见解与讨论

安全社区内的讨论强调了关于此次入侵性质的几个关键要点：

暴露风险： 评论者强调，防火墙等关键基础设施的管理接口绝不应暴露在公共互联网上，而应位于隔离的管理 VLAN 中。
供应商猜测： 虽然研究人员没有披露供应商，但社区成员推测配置细节和 SELinux 行为与 Palo Alto Networks 或 Fortinet 等主要防火墙提供商一致。
漏洞复杂性： 一些观察人士指出，用于实现初始 RCE 的内存耗尽技术出奇地手动，这表明尽管攻击者资金充足，但他们仍在完善其漏洞开发流程。
归因： 使用中文 LLM、中国互联网基础设施 (FOFA) 和 UTC+8 时间戳等指标强烈表明这是一次与中国有关的行动，尽管研究人员尚未正式将此次攻击归因于特定的国家行为体。