PHP2Shell: jelszóhash-ekhez és MFA-titkokhoz is hozzáfértek egy támadás során

A PHP2Shell két kritikus sebezhetőségének ismertetése után immár sikeres támadásról is részletes technikai beszámoló érhető el. A Palo Alto Networks Unit 42 2026. október 23-án frissített jelentése szerint egy európai kormányzati szervezet elleni támadásban az elkövetők két órán belül hozzáfértek jelszóhash-ekhez és többfaktoros hitelesítési (MFA-) titkokhoz. A kutatók további Active Directory-támadási lépéseket is megfigyeltek.

Ez az új részlet azért fontos, mert a korábbi riasztások jelentős része a sérülékenységekről, a gyors javításokról és a támadási próbálkozásokról szólt. A mostani beszámoló behatolás utáni, megfigyelt tevékenységet ír le. Nem állítja, hogy minden sérülékeny szervert feltörtek volna.

Mit tesz lehetővé a PHP2Shell?

A CVE-2026-109618 és a CVE-2026-109619 sérülékenységek a PHP memóriakezeléséhez és a hibakezelés során használt longjmp() működéséhez kapcsolódnak. Meghatározott feltételek mellett hitelesítés nélküli távoli kódfuttatáshoz vezethetnek. Mindkét hiba CVSS 4.0 szerinti 9,2 pontot kapott.

A PHP-csapat javított kiadásokat tett közzé a támogatott verzióágakhoz: 8.2.35, 8.3.36, 8.4.27 és 8.5.12. A telepítés és a ténylegesen futó PHP-verzió ellenőrzése különösen fontos a nyilvánosan elérhető webalkalmazásoknál.

Az első két órában hitelesítési titkokig jutottak

A Unit 42 egyik dokumentált esetében a támadók a kezdeti kihasználás után feltérképezték a kompromittált végpontot, jelszóhash-eket és MFA-titkokat értek el, majd NTLM-relay alagutat hoztak létre az Active Directory felé. Ezt követően tartományi rendszergazdai jogosultság megszerzésére tettek kísérletet.

A jelentés szerint a jogosultságemelési próbálkozás ténye megfigyelt, de ez nem jelenti azt, hogy a támadók bizonyítottan megszerezték volna a Domain Admin szerepkört. A jelszóhash-ekhez és MFA-titkokhoz való hozzáférés súlyos esemény; önmagában azonban nem ad teljes képet a tényleges adatkiáramlásról és az incidens teljes hatóköréről.

AI-ügynök állhatott a támadási parancsok mögött?

A kutatók a támadásban használt parancsokat géppel könnyen feldolgozható szakaszjelölők között figyelték meg, például ==SHELLUSER== és ==PASSWD== formában. A Unit 42 ezt ügynökszerű, AI-val támogatott működésre utaló erős jelzésnek tekinti.

Fontos különbség: a parancsok és a végrehajtott műveletek megfigyelések; a mögöttük álló automatizált AI-eszközre vonatkozó megállapítás kutatói értelmezés. A nyilvános bizonyíték nem teszi lehetővé egy konkrét AI-modell vagy támadóeszköz biztos megnevezését.

Miért fontos ez az open banking és a fintech világában?

A digitális pénzügyek működéséhez nemcsak a banki alkalmazások és API-k, hanem a kapcsolódó ügyfélportálok, kereskedői adminfelületek és integrációs rendszerek is hozzátartoznak. A PHP-t használó webalkalmazások sérülékenysége akkor is üzleti kockázat lehet, ha maga a pénzforgalmi magrendszer más technológián fut.

Az incidens egyik lényeges tanulsága, hogy a támadás a webkiszolgálóról a vállalati hitelesítési infrastruktúra irányába is továbbterjedhet. Ez lehetséges támadási útvonal, nem egy konkrét pénzügyi szolgáltatónál igazolt esemény.

Mit ellenőrizzenek az üzemeltetők?

Elsőként a futó PHP-verziót és a javítások telepítését célszerű ellenőrizni, beleértve az eltérő PHP-FPM-poolokat, konténereket és régebbi alrendszereket. Ha egy szerver korábban sérülékeny volt, a frissítés mellett visszamenőleges incidensvizsgálat is indokolt lehet.

A Unit 42 által publikált technikai indikátorok alapján érdemes a szokatlan, PHP-folyamatból indított parancsokat, a jogosultsági fájlok és hitelesítési adatok elérését, az ismeretlen kimenő kapcsolatokat, valamint a tartományi hitelesítéshez kapcsolódó rendellenességeket vizsgálni. A sérülékenység jelenléte önmagában nem bizonyítja a kompromittálódást.