Η αρχιτεκτονική της επίθεσης: Από το PHP2Shell στο Kernel LPE
Η επίθεση βασίστηκε σε μια αλυσίδα δύο κρίσιμων ευπαθειών που εκτελούνται μέσω ενός και μόνο HTTP αιτήματος. Το πρώτο στάδιο, το PHP2Shell (CVE-2026-109618/109619), εκμεταλλεύεται τον μηχανισμό session.upload_progress της PHP για να προκαλέσει memory corruption και τελικά απομακρυσμένη εκτέλεση κώδικα (RCE) ως χρήστης nobody.
Για να παρακαμφθούν οι περιορισμοί του SELinux, οι επιτιθέμενοι χρησιμοποίησαν το Fragnesia (CVE-2026-46300), μια ευπάθεια στον πυρήνα (kernel) του Linux στο υποσύστημα XFRM ESP-in-TCP. Αυτό επέτρεψε την αντικατάσταση των κανόνων πιστοποίησης στο /etc/pam.d/su, παρέχοντας πλήρη root πρόσβαση χωρίς κωδικό.
Στοχευμένη αναγνώριση και αυτοματοποίηση
Οι επιτιθέμενοι δεν ενήργησαν τυχαία. Χρησιμοποίησαν μια διαδικασία «χωνιού» (funnel) που ξεκίνησε από 19.000 πιθανούς στόχους παγκοσμίως. Μέσω του FOFA, εντόπισαν firewalls με εκτεθειμένες διεπαφές διαχείρισης και προχώρησαν σε fingerprinting για να ταυτοποιήσουν τις εκδόσεις λογισμικού. Η χρήση 11 διαφορετικών JSON profiles για τις εκδόσεις του firewall αποδεικνύει την εκτεταμένη προετοιμασία σε εργαστηριακό περιβάλλον (lab environment) για τη διασφάλιση της επιτυχίας του exploit.
Κλιμάκωση και παραβίαση ταυτοτήτων
Μόλις αποκτήθηκε πρόσβαση στα firewalls, η επίθεση μετατοπίστηκε στο εσωτερικό δίκτυο. Μέσω ενός reverse SSH tunnel, οι επιτιθέμενοι απέκτησαν πρόσβαση στον κεντρικό διακομιστή διαχείρισης (management server). Από εκεί, αποκρυπτογράφησαν τα διαπιστευτήρια του LDAP service account, επιτρέποντάς τους να πραγματοποιήσουν πλήρη απαρίθμηση (enumeration) του Active Directory, να εκτελέσουν password spraying και να επιχειρήσουν την εξαγωγή κλειδιών SAML, θέτοντας σε κίνδυνο ολόκληρη την υποδομή ταυτοτήτων του οργανισμού.