Hackers exploram PHP2Shell e invadem órgão governamental europeu

Hackers exploraram vulnerabilidades avaliações do PHP2Shell pra comprometer uma entidade governamental na Europa, acessar hashes de senhas e segredos de autenticação multifator (MFA) em menas de duas horas. A investigação da Palo Alto Networks Unit 42 identificou indícios de utilização de inteligência artificial agêntica nas atividades realizadas apos a invasão.As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, possibilitam execução remota de codigo (RCE) em determinadas confi Hackers exploraram vulnerabilidades avaliações do PHP2Shell pra comprometer uma entidade governamental na Europa, acessar hashes de senhas e segredos de autenticação multifator (MFA) em menas de duas horas. A investigação da Palo Alto Networks Unit 42 identificou indícios de utilização de inteligência artificial agêntica nas atividades realizadas apos a invasão.

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, possibilitam execução remota de codigo (RCE) em determinadas configuracoes do PHP. Desde sua divulgacao, as falhas têm sido alvo de campanhas de varredura e tentativas de exploracao em escala global. De acordo com a Unit 42, os invasores conseguiram acessar informacoes sensíveis de autenticação e estabelecer um túnel de retransmissão NTLM (NT LAN Manager) pra atingir o Active Directory, sistema utilizado pra gerenciar identidades e permissões em redes corporativas.

Igualmente tentaram elevar seus privilégios ao nivel de administrador de domínio (Domain Admin). A análise identificou comandos e padrões de comportamento compatíveis com operações conduzidas por agentes de AI, incluindo reconhecimento automatizado de sistemas e coleta estruturada de informacoes. Entre as atividades observadas estavam a investigação de bancos de dados de autenticação utilizando credenciais roubadas, buscas por hashes de senhas e segredos de autenticação de dois fatores (2FA), alem de consultas LDAP anônimas ao controlador de domínio pra localizar contas administrativas.

Os invasores igualmente buscaram informacoes a respeito de servidores internos, integracao entre DNS e Active Directory, grupos privilegiados e usuários conectados. Um dos principais indícios de automação foi a organizacao das respostas dos comandos por delimitadores como ==SHELLUSER== e ==PASSWD==. De acordo com a Unit 42, esse formato facilita a interpretacao automatica dos resultados por modelos de inteligência artificial.

Ainda que os indicadores sugiram o uso de AI agêntica, a identidade dos responsáveis pelo ataqu