Cercetătorii au descris o campanie în care atacatorii au folosit vulnerabilități PHP2Shell pentru a obține acces root pe servere. Activitatea a fost observată pe 25 octombrie 2026, iar relatările menționează 25 de servere din Statele Unite, Japonia, Taiwan și Coreea de Sud, inclusiv sisteme dintr-un mediu afiliat guvernului american. Actorul a fost descris drept suspectat de legături cu China. O relatare menționează și atacuri asupra Active Directory, la câteva minute după compromiterea inițială, precum și obținerea persistenței.