Дослідники кібербезпеки зафіксували використання вразливостей PHP2Shell (CVE-2026-109618 та CVE-2026-109619) для атак на державні установи в Європі. Протягом кількох годин після початкового проникнення зловмисники отримали доступ до хешів паролів, секретів багатофакторної аутентифікації та налаштували тунель для ескалації привілеїв у системі Active Directory.

Аналіз команд показав використання автономних інструментів для автоматизованого збору даних та побудови машиночитаних звітів. Одночасно зафіксовано активність пов’язаної з Північною Кореєю мережі з 21 скомпрометованого вузла, яка здійснює низькоінтенсивне сканування глобальної інфраструктури PHP в урядовому та фінансовому секторах.