PHP2Shell-Ausnutzung trifft Behörde inmitten globaler Scans und Hinweisen auf KI-gestütztes Hacking

Was passiert ist

Angreifer wurden dabei beobachtet, wie sie agentische künstliche Intelligenz (KI), also KI, die mehrstufige Aufgaben selbstständig ausführt, statt nur eine einzelne Frage zu beantworten, für Aktivitäten nach der Ausnutzung einsetzten. Dies geschah nach dem Missbrauch der PHP2Shell-Schwachstellen mit den Bezeichnungen CVE-2026-109618 (die öffentliche Katalognummer für eine bestimmte Softwareschwachstelle) und CVE-2026-109619. PHP2Shell-Ausnutzung trifft Behörde inmitten globaler Scans und Hinweisen auf KI-gestütztes Hacking Ravie Lakshmanan 25. Oktober 2026 Schwachstelle / Künstliche Intelligenz Angreifer wurden dabei beobachtet, wie sie agentische künstliche Intelligenz (KI) für Aktivitäten nach der Ausnutzung einsetzten, nachdem die PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 missbraucht worden waren.

Das Netzwerksicherheitsunternehmen erklärte, es habe außerdem beobachtet, wie der unbekannte Angreifer den kompromittierten Endpunkt auskundschaftete, mit Befehlen und Verhaltensmerkmalen, die auf die Arbeit eines agentischen Angreifers hindeuten. "Jeder Befehlsblock ist in Abschnittskopfzeilen eingebettet, etwa ==SHELLUSER== und ==PASSWD==", hieß es weiter.

"In einem Fall nahmen die Angreifer eine Behörde in Europa ins Visier, und innerhalb von zwei Stunden nach der ersten Ausnutzung hatten sie erfolgreich Passwort-Hashes und Geheimnisse der Multi-Faktor-Authentifizierung (ein zweiter Identitätsnachweis neben dem Passwort) erbeutet", erklärte Palo Alto Networks Unit 42. "Außerdem richteten sie einen NTLM-Relay-Tunnel (NT LAN Manager) in das Active Directory ein und unternahmen den Versuch, sich Domain-Admin-Rechte zu verschaffen, also Befugnisse auf einem System zu erlangen, die dem Benutzer nicht zugewiesen waren."

Zu den Befehlen gehörten unter anderem: Aufklärung der Authentifizierungsdatenbank mit gestohlenen Zugangsdaten, gezielt auf Passwort-Hashes und Geheimnisse der Zwei-Faktor-Authentifizierung (2FA) ausgerichtet. Außerdem Aufklärung des Active Directory (AD) über anonyme LDAP-Abfragen per curl an den Domänencontroller (DC), mit dem Ziel, das Administratorkonto zu finden.