Eksperci z firm GreyNoise oraz Dream raportują aktywne wykorzystywanie podatności CVE-2026-109618 oraz CVE-2026-109619, znanych jako PHP2Shell. Ataki te nie są jedynie przypadkowymi próbami, lecz elementem celowej kampanii, którą przypisuje się grupie powiązanej z Chinami. Napastnicy wykorzystują te luki do przejmowania kontroli nad urządzeniami brzegowymi, takimi jak firewalle.
W jednym z opisanych przypadków atakujący zastosowali łańcuch podatności, łącząc PHP2Shell z luką CVE-2026-46300 w systemie Linux. Pozwoliło to na eskalację uprawnień z poziomu zwykłego użytkownika do pełnego dostępu root na urządzeniach jednego z dużych dostawców. Skutkiem takich działań było przejęcie poświadczeń, kluczy prywatnych oraz mapy sieciowej organizacji.
Analiza wykazała, że napastnicy używali narzędzi takich jak silnik wyszukiwania FOFA do identyfikacji podatnych urządzeń w konkretnych lokalizacjach geograficznych. Po zidentyfikowaniu celów, instalowali webshelle, które zapewniały im trwały dostęp do zainfekowanych systemów. Kampania charakteryzowała się wysokim stopniem przygotowania i personalizacji narzędzi pod konkretne platformy sprzętowe.
