PHP2Shell漏洞遭利用攻击某政府机构，全球扫描活动频发并现AI辅助黑客迹象

事件经过

威胁行为者被观察到在利用PHP2Shell漏洞（编号为CVE-2026-109618和CVE-2026-109619，这是对特定软件缺陷的公开编目编号）之后，使用智能体（即能够执行多步骤任务而非仅回答单一问题的）人工智能平台开展后渗透活动。PHP2Shell漏洞利用攻击政府机构，全球扫描活动随之展开，并出现人工智能辅助黑客攻击的迹象。Ravie Lakshmanan 2026年10月25日 漏洞 / 人工智能 威胁行为者被观察到在利用PHP2Shell漏洞（编号为CVE-2026-109618和CVE-2026-109619）之后，使用智能体人工智能平台开展后渗透活动。

这家网络安全公司还观察到，未知攻击者在对已被入侵的终端进行枚举，其命令和行为特征表明这可能是代理式攻击者所为。该公司表示：“每批命令都用节标题分隔符包裹，例如==SHELLUSER==和==PASSWD==。”

Palo Alto Networks Unit 42表示：“在一个案例中，攻击者瞄准了欧洲的一个政府机构，在最初利用成功后的两小时内，他们就已成功获取了密码哈希值以及多因素认证（除密码之外的第二种身份验证方式）的密钥。他们还建立了一条通往Active Directory的NTLM中继隧道，并尝试进行域管理员权限提升（即获取用户本不应拥有的系统权限）。”

这些活动包括以下命令：利用窃取的凭据对认证数据库进行侦察，锁定密码哈希值和双因素认证（2FA）密钥；通过基于curl的匿名LDAP查询，对域控制器（DC）进行Active Directory侦察，试图找出管理员账户。