Sulmuesit po shfrytëzojnë dobësitë kritike PHP2Shell, CVE-2026-109618 dhe CVE-2026-109619, që mundësojnë ekzekutimin e kodit në distancë në konfigurimet standarde të PHP. Sipas Palo Alto Networks Unit 42, në një institucion qeveritar europian ata siguruan qasje te hash-et e fjalëkalimeve dhe sekretet e autentikimit me shumë faktorë brenda dy orësh nga shfrytëzimi fillestar.
Sulmuesit krijuan edhe një tunel NTLM-relay drejt Active Directory dhe tentuan të merrnin privilegje Domain Admin. Komandat e zbulimit dhe ndarësit që e bëjnë daljen të lexueshme nga makina sugjerojnë përdorimin e platformave AI me agjentë për veprimet pas komprometimit, sipas Unit 42.
Veçmas, CYFIRMA identifikoi një fushatë të dyshuar si të lidhur me Korenë e Veriut, që përdor 21 nyje të komprometuara për skanime të ngadalta e me volum të ulët. Objektivat përfshijnë 216 sisteme pa përditësime ose me masa mbrojtëse të pjesshme në disa rajone, në sektorë si qeverisja, financat, logjistika dhe aviacioni. Nyjet ndërrohen sapo hasin bllokime ose kufizime të ritmit të kërkesave.
Fushata koordinohet përmes një kanali të mbyllur I2P dhe i atribuohet me besueshmëri mesatare një operatori koreanofolës të lidhur me ekosistemin Lazarus Group. Ndërkohë, Cloudflare raportoi miliona tentativa shfrytëzimi pas publikimit të dobësive.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
