PHP2Shell llegó a Palo Alto Networks con explotación activa confirmada. La empresa actualizó su aviso de seguridad y reconoció ataques reales contra interfaces de administración de PAN-OS expuestas a internet, sin necesidad de una configuración especial para quedar expuesto. El dato cambia el cuadro: el proveedor afectado ya tiene nombre.
La historia venía corriendo desde la explotación de PHP2Shell con las dos fallas de PHP en ataques reales. Lo nuevo ahora es concreto. Hay un fabricante identificado, una lista de versiones de PAN-OS con corrección, varias entregas de parche fechadas para el 29 y el 30 de octubre, y un plazo federal del 31 de octubre para la falla de Linux que completa la cadena.
El proveedor sin nombre ya tiene nombre
Dream, firma israelí de ciberseguridad, había descrito días antes una operación atribuida a un actor con presuntos vínculos con China. La cadena unía PHP2Shell con Fragnesia, una falla de escalada de privilegios en el núcleo de Linux registrada como CVE-2026-46300, con nota 7,8. El resultado reportado por Dream: acceso total de administrador, root en el lenguaje de los servidores, en 25 equipos repartidos entre Estados Unidos, Japón, Taiwán y Corea del Sur.
Tres de esos equipos pertenecían a un entorno vinculado al Gobierno estadounidense. Dream contó que el atacante pasó del cortafuegos perimetral a ataques contra Active Directory, el sistema de identidades de Microsoft, con extracción de credenciales y enumeración del directorio. El nombre del fabricante de los cortafuegos quedó fuera de ese informe. Palo Alto Networks no ha dicho que se trate de la misma campaña, pero The Hacker News apuntó que los tiempos del aviso y la ausencia de reportes parecidos en otros fabricantes de redes sugieren una relación entre ambos hechos.
La operación reconstruida por Dream partió de unos 19.000 cortafuegos localizados con FOFA, herramienta de búsqueda de activos conectados. Cerca de 5.000 equipos devolvieron datos de versión. El filtro por país y por la rama con PHP 8.0.30 dejó 240 objetivos, y un ejecutor automático instaló puertas traseras web, verificó el acceso root y guardó cada equipo en una lista. Dream también halló rastros de ayuda de inteligencia artificial en la infraestructura del atacante, con Claude Code instalado y una plataforma ofensiva configurada con modelos de DeepSeek y Kimi.
Versiones de PAN-OS y parches con fecha
PHP2Shell reúne dos vulnerabilidades de PHP, CVE-2026-109618 y CVE-2026-109619, ambas con nota 9,2. Permiten ejecutar código a distancia sin contraseña en sistemas con versiones afectadas de PHP, el lenguaje que mueve buena parte de los servidores web del planeta. La Fundación PHP publicó la corrección el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Palo Alto Networks precisó que el problema toca de forma estricta la interfaz web de administración, con su panel HTTPS y el servicio de interfaz de programación XML API. El plano de datos solo entra en riesgo si lleva pegado un perfil de administración. Las ramas afectadas de PAN-OS son 12.2, 12.1, 11.2, 11.1 y 10.2, cada una con su versión corregida; la 12.2 se cierra en la 12.2.4-h1, y varias correcciones de las demás ramas quedaron anunciadas con llegada entre el 29 y el 30 de octubre.
Mientras el parche llega, la empresa pidió restringir el acceso a la interfaz de administración a direcciones IP internas de confianza, su recomendación de despliegue de siempre. Los clientes con Frontier Virtual Patching, dentro de ATP Plus, recibieron cobertura anticipada con el Threat ID 543004, liberado el 20 de octubre a las 10:21 de la noche, hora del Pacífico. La suscripción de prevención de amenazas suma otra batería de identificadores de amenaza activos desde el contenido 9162.
Plazo de CISA con fecha del 31 de octubre
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, CISA por sus siglas en inglés, sumó CVE-2026-46300 a su catálogo de vulnerabilidades explotadas conocidas. La agencia fijó el 31 de octubre de 2026 como fecha límite para que las dependencias federales apliquen la corrección. CISA advirtió que esa falla puede encadenarse con la pareja de PHP2Shell para implantar puertas traseras web y ejecutar comandos como root.
Para una empresa con cortafuegos de Palo Alto Networks en producción, la revisión es corta y muy concreta: comprobar si la interfaz de administración responde desde internet, mirar la rama de PAN-OS instalada y aplicar la versión corregida de su rama en cuanto aparezca. Cada hora con el panel abierto cuenta, porque el escaneo previo del atacante dejó fichados miles de equipos con su versión exacta.
Dream dejó un dato incómodo sobre la mesa. De los 25 equipos con acceso root, 22 quedaron estacionados con su puerta trasera activa, y el túnel persistente hacia la organización vinculada al Gobierno estadounidense probablemente seguía corriendo al momento del informe. El aviso actualizado de Palo Alto Networks no aclara si esos equipos ya fueron limpiados.
Fuente: The Hacker News
Foto: The Hacker News
