PHP2Shell與Linux核心漏洞被串連利用，中國駭客藉此取得25臺防火牆root權限

10月26日以色列資安新創Dream Security揭露一起不尋常的攻擊活動，使用簡體中文的駭客疑似借助AI的力量，串連統稱為PHP2Shell的重大漏洞CVE-2026-109618與CVE-2026-109619，以及Linux核心本機權限提升（LPE）漏洞Fragnesia（CVE-2026-46300），入侵25臺伺服器並得到root權限，這些伺服器位於臺灣、日本、韓國，以及美國，其中3臺與美國政府環境有關的伺服器被鎖定並執行後續活動，駭客藉此深入受害組織內部的AD網域環境，進行偵察並擷取憑證。

事隔3天，該公司更新部落格文章內容，指出這些伺服器就是執行特定版本PAN-OS的Palo Alto Networks防火牆與管理伺服器。Palo Alto Networks威脅情報團隊Unit 42也獨立確認此事，並驗證攻擊者使用的工具。Palo Alto Networks透露，全球僅有約0.02%用戶將防火牆管理介面曝露於網際網路，而有可能成為攻擊目標，他們將逐一聯繫並持續進行相關調查。

攻擊者先利用FOFA網路資產搜尋服務，找出全球約1.9萬臺對外暴露管理介面的防火牆，再透過自製掃描工具辨識約5千臺可取得版本資訊的設備。經過地理位置與軟體版本篩選後，攻擊者鎖定臺灣、美國、日本，以及韓國的240臺設備，最後成功入侵24臺防火牆，並在其中植入可遠端執行命令的Web Shell。

其中兩臺防火牆與美國政府相關組織有關，攻擊者從設備組態取得內部網路拓樸資訊後，建立反向SSH通道，連接網域控制站、防火牆管理伺服器，以及VPN基礎設施，並利用SOCKS5代理伺服器存取內部網路。接著，攻擊者透過該通道入侵第三臺伺服器，也就是內部的防火牆管理伺服器，使遭入侵的伺服器總數達到25臺。

取得管理伺服器root權限後，攻擊者解密LDAP服務帳號密碼，列舉AD網域中的使用者與群組，並嘗試對使用者帳號進行密碼潑灑、建立後門帳號，以及取得Keycloak單一登入系統的SAML簽章金鑰。不過，Dream表示，由於缺乏相關執行結果紀錄，他們無法確認這些後續攻擊是否成功。Dream Security在攻擊基礎設施中發現Claude Code、搭配中國大型語言模型DeepSeek與Kimi的AI資安工具aiscan，以及FOFA的API金鑰。該公司看到約有40個用於攻擊的指令碼，其程式碼結構、註解風格存在一致性的特徵，代表駭客很有可能利用AI協助開發。Dream Security初步認定此次攻擊與兩個月前針對臺灣的攻擊活動性質有所不同，排除是國家級駭客發起的AI自主攻擊活動。