Pesquisadores da empresa de segurança Dream revelaram, em um relatório publicado nesta segunda-feira (26), uma campanha de ataques cibernéticos apoiada por ferramentas de inteligência artificial (IA) que comprometeu 25 servidores em vários países. A operação utilizou vulnerabilidades conhecidas no sistema PHP e no kernel do Linux para assumir o controle total de dispositivos de rede, incluindo sistemas ligados ao governo dos Estados Unidos.
A investida ocorreu neste mês e ficou em firewalls expostos à internet. De acordo com a Dream, os criminosos usaram motores de busca de dispositivos conectados, a exemplo da plataforma FOFA, para mapear dezenas de milhares de sistemas vulneráveis. Em seguida, o grupo selecionou alvos estratégicos na América do Norte e na Ásia antes de executar a invasão automatizada por meio de scripts personalizados.
O vetor principal baseia-se em duas brechas de segurança no código PHP, registradas sob os códigos CVE-2026-109618 e CVE-2026-109619, combinadas com uma falha de escalação de privilégios no Linux chamada Fragnesia. Com a vulnerabilidade dupla, os invasores conseguiram contornar barreiras de proteção e executar comandos remotos sem precisar de credenciais de acesso.
A análise dos artefatos recuperados indicou o uso de ferramentas de assistência baseadas em IA, como o Claude Code e a plataforma de varredura Aiscan integrada a modelos de linguagem desenvolvidos por empresas como DeepSeek e Kimi. Os especialistas destacaram a sofisticação da infraestrutura utilizada no caso:
“A operação ilustra como um painel de gerenciamento exposto pode se tornar um caminho direto para a infraestrutura de identidade de uma organização”, destacou a equipe de pesquisa da Dream, em documento oficial.
Invasão a redes governamentais
Durante o avanço da operação, o coletivo direcionou recursos para comprometer a infraestrutura interna de uma organização ligada ao governo norte-americano. Após derrubar o primeiro firewall, os atacantes mantiveram o monitoramento até conseguirem burlar um segundo equipamento de borda.
A partir dessa posição, invasores criaram um canal de comunicação secreto e criptografado para ligar o firewall invadido aos computadores deles, com o objetivo de garantir que essa conexão continuasse funcionando mesmo se o equipamento fosse reiniciado. Com essa brecha aberta, o grupo conseguiu alcançar servidores internos de gerenciamento, roubar senhas de acesso que estavam guardadas nos arquivos do sistema e tentar listar todos os usuários cadastrados na rede da organização.
A empresa Palo Alto Networks confirmou, por meio de um comunicado oficial, que os dispositivos afetados pertencem à linha de firewalls PAN-OS. A companhia trabalhou em conjunto com os pesquisadores da Dream para verificar as ferramentas utilizadas e liberou atualizações de segurança para corrigir as falhas nas versões afetadas do sistema operacional de rede.
Apesar da gravidade da invasão, os analistas da Dream ainda investigam se os cibercriminosos conseguiram extrair dados sensíveis ou criar com sucesso contas de acesso persistente na rede corporativa comprometida.
Desafios na defesa digital
Os analistas da empresa Flare avaliaram que o aproveitamento dessa vulnerabilidade exige um estudo profundo dos sistemas. O diretor de pesquisa de segurança, Oliver Bilodeau, explicou que essa complexidade costuma impedir ataques em grande escala, mas a situação muda completamente quando se trata de aparelhos de rede e equipamentos corporativos:
Diante do risco, equipes de segurança recomendam a aplicação imediata de patches de atualização fornecidas pelos fabricantes de hardware e software, além da remoção de interfaces administrativas de gerenciamento do acesso público direto à internet.
Leia sobre o caso “PHP2Shell” de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.