根据网络安全公司 Dream 和 Palo Alto Networks Unit 42 研究人员的调查，一个威胁行为者将 PHP2Shell 漏洞与 Linux 内核权限提升漏洞结合使用，成功获取了 Palo Alto Networks 防火墙的 root 权限。

此次攻击波及 20 多个目标，其中包括多个与美国政府有关联的服务器。

攻击者利用了 PHP2Shell 中的两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619，以及 Linux 内核中的高危权限提升漏洞 Fragnesia（CVE-2026-46300）。

在 AI 工具的辅助下，攻击者成功获取了位于美国、日本、韩国的 25 台 PAN-OS 防火墙及管理服务器的 root 权限。

获得防火墙访问权限后，攻击者进一步将目标转向 Microsoft Active Directory（AD）环境。研究人员确认，攻击活动涉及目录枚举和凭据窃取。

研究人员还证实，此次攻击影响了一个与美国政府有关联的云环境。

Dream 产品与网络安全研究副总裁 Kfir Fleischer 表示，服务器的命名方式以及通用访问卡（CAC）身份验证机制等迹象，都支持这一判断。不过，仅凭攻击者留下的日志，尚无法明确确认该服务器具体属于哪个美国政府机构。

Palo Alto Networks 发言人表示，在其全球已部署的防火墙中，只有约 0.02% 暴露在互联网中，并可能受到此次攻击活动影响。

AI 辅助攻击：扫描约 1.9 万台防火墙

调查显示，此次攻击活动可能始于 10 月 8 日。当时，攻击者利用 DeepSeek 和 Kimi 等 AI 工具，搭建了一个名为 aiscan 的 AI 辅助攻击平台。

截至 10 月 23 日，攻击者已扫描约 19,000 台防火墙。他们通过设备指纹识别技术，判断哪些防火墙处于在线状态，并识别设备所运行的具体产品版本。

随后，攻击者从扫描结果中筛选出 240 个潜在目标，其中包括与美国政府有关联的防火墙。

最终，攻击者成功入侵了约 24 台防火墙，其中包括至少两台美国政府相关服务器。研究人员统计的整体受影响 PAN-OS 防火墙及管理服务器数量为 25 台。

Palo Alto Networks 建议客户将管理接口的访问限制在可信 IP 地址范围内，并及时安装针对 PHP2Shell 漏洞的 PAN-OS 安全更新。

美国网络安全和基础设施安全局（CISA）已于 10 月 28 日将 CVE-2026-46300 纳入已知被利用漏洞目录（KEV）。此前，该机构已于 10 月 26 日将 PHP2Shell 相关漏洞列入该目录。

PHP2Shell 漏洞在 10 月引发了整个网络安全行业的广泛关注。PHP 是全球网站广泛使用的脚本语言，据估计，约 70% 的网站使用 PHP。