Trwają intensywne działania grup powiązanych z Koreą Północną, w tym z ekosystemem Lazarus, mające na celu wykorzystanie krytycznych podatności PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619). Atakujący skanują globalną infrastrukturę PHP, celując w instytucje rządowe, finansowe i logistyczne. Kampania charakteryzuje się niską intensywnością skanowania, co ma utrudnić wykrycie przez systemy oparte na progach alarmowych.
Szczególnie niepokojącym aspektem jest wykorzystanie agentycznej sztucznej inteligencji do działań post-eksploatacyjnych. Napastnicy używają modeli AI do analizy danych z przejętych systemów, stosując specjalne znaczniki w poleceniach, które ułatwiają maszynowe parsowanie wyników. Pozwala to na szybką rekonesans bazy uwierzytelnień, Active Directory oraz poszukiwanie sekretów MFA.
W jednym z incydentów uderzających w europejską agencję rządową, napastnicy w ciągu zaledwie dwóch godzin od eksploitacji uzyskali dostęp do skrótów haseł i sekretów uwierzytelniania wieloskładnikowego. Następnie próbowali eskalacji uprawnień do poziomu Domain Admin poprzez tunelowanie NTLM do Active Directory.
Podatności PHP2Shell pozwalają na zdalne wykonanie kodu (RCE) w domyślnych konfiguracjach PHP. Eksperci wskazują, że wykrycie ataku może być możliwe poprzez monitorowanie specyficznej sekwencji zdarzeń: żądania POST kończącego się błędem 500, raportów o wyczerpaniu pamięci i uszkodzeniu sterty w logach PHP oraz awarii procesów Apache.
