A empresa israelense de segurança Dream publicou em 26 de outubro de 2026 a análise de uma campanha que obteve acesso root em 25 servidores, encadeando as duas falhas do PHP2Shell com uma vulnerabilidade do kernel Linux. Os artefatos foram recuperados em 25 de outubro e a exploração foi executada até o dia 24.
O conjunto reúne 24 firewalls de perímetro de um mesmo fabricante, que a Dream não nomeia, mais um servidor interno de gerenciamento desses equipamentos. Os alvos estavam nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul. Três dos 25 pertencem a um ambiente ligado ao governo americano, dois firewalls e o servidor de gerenciamento.
A cadeia parte das CVE-2026-109618 e CVE-2026-109619, que dão execução remota com o usuário de menor privilégio do servidor web, e termina na CVE-2026-46300, batizada Fragnesia, falha de nota 7,8 no subsistema de rede do kernel usada para alterar a configuração de autenticação e virar root.
A varredura dá a dimensão do esforço. A Dream descreve cerca de 19 mil firewalls localizados pelo buscador chinês FOFA, 5 mil respondendo, 240 selecionados por país e versão de PHP, e 24 derrubados na execução em lote. Em 22 deles o atacante deixou um webshell com privilégio de root e não voltou.
No ambiente ligado ao governo, o relatório descreve um túnel SSH reverso de oito portas que abriu caminho para controladores de domínio e infraestrutura de VPN. Dali o atacante decifrou a senha de uma conta de serviço LDAP, enumerou usuários e grupos do Active Directory, disparou pulverização de senha e tentou criar contas de porta dos fundos.
A Dream não atribui a operação a grupo nomeado nem a país, e lista indicadores de origem chinesa: seleção de alvos, uso do FOFA, horários em UTC mais oito e instruções em chinês nos logs da plataforma ofensiva encontrada. Nela havia o Claude Code instalado e os modelos DeepSeek e Kimi configurados, sem evidência direta, diz a Dream, de que a IA escreveu o exploit.
As duas falhas do PHP2Shell estão no catálogo da CISA desde 26 de outubro, com prazo de correção em 29 de outubro para órgãos federais americanos, e o patch do kernel saiu em maio. O que o caso acrescenta é o alvo: o firmware dos firewalls carregava PHP 8.0.30 e 7.4.33, versões embutidas que escapam do inventário de pacotes. Para quem opera borda, a verificação pendente é se a interface de gerenciamento responde na internet, o erro que a Dream aponta como origem do acesso ao domínio.
