Palo Alto Networks confirma la explotación activa de las vulnerabilidades PHP2Shell en interfaces de gestión expuestas

Palo Alto Networks ha confirmado que actores de amenazas están explotando activamente vulnerabilidades críticas de PHP en sus interfaces de gestión de firewall expuestas a internet público. La advertencia, emitida el miércoles, sigue a los informes de la firma de ciberseguridad Dream sobre un grupo sospechoso con nexos en China que comprometió servidores en varios países. Este desarrollo marca una escalada significativa en la explotación de las vulnerabilidades PHP2Shell recientemente parcheadas.

Qué ocurrió

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS de 9.2 y permiten la ejecución remota de código no autenticado en sistemas que ejecutan versiones afectadas de PHP. Estos problemas fueron corregidos por la PHP Foundation el 21 de octubre de 2026, en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sin embargo, los atacantes ahora apuntan a dispositivos que aún no se han actualizado o que siguen expuestos al tráfico externo.

La empresa de ciberseguridad Dream informó haber observado a un actor de amenazas encadenando estas fallas de PHP con un bug de escalada de privilegios del kernel de Linux, rastreado como Fragnesia (CVE-2026-46300). Esta combinación permitió a los atacantes obtener acceso root a 25 servidores en EE. UU., Japón, Taiwán y Corea del Sur, incluidos tres sistemas vinculados a un entorno afiliado al gobierno de EE. UU. Posteriormente, los atacantes dirigieron su atención hacia Active Directory, extrayendo credenciales y enumerando estructuras de directorio.

En respuesta, la Agencia de Seguridad Cibernética e Infraestructura de EE. UU. (CISA) añadió CVE-2026-46300 a su catálogo de Vulnerabilidades Explotadas Conocidas, obligando a las agencias federales a aplicar correcciones antes del 31 de octubre de 2026. CISA señaló que esta vulnerabilidad puede encadenarse con las fallas de PHP para implantar web shells y ejecutar comandos con privilegios de root. Palo Alto Networks declaró que, aunque solo una pequeña fracción de su base instalada global tiene interfaces de gestión expuestas a internet, esos clientes han sido contactados individualmente.

Detalles clave

• Vulnerabilidades: CVE-2026-109618 y CVE-2026-109619 (CVSS 9.2) habilitan la ejecución remota de código no autenticado mediante fallas PHP2Shell.
• Cadena de explotación: Los atacantes combinan las fallas de PHP con CVE-2026-46300 (Fragnesia, CVSS 7.8) para lograr acceso root en sistemas de firewall basados en Linux.
• Alcance del impacto: Dream observó compromisos en 25 servidores en EE. UU., Japón, Taiwán y Corea del Sur, incluidos sistemas afiliados al gobierno de EE. UU.
• Interfaz afectada: El problema afecta estrictamente a la interfaz web de gestión (UI HTTPS y API XML), especialmente cuando está expuesta a direcciones IP externas.
• Estado del parche: Hay correcciones disponibles para la mayoría de las versiones de PAN-OS, con algunos lanzamientos esperados para el 30 de octubre de 2026.
• Respuesta del proveedor: Palo Alto Networks confirmó la explotación y urgió la eliminación inmediata del acceso a internet público de las interfaces de gestión.

Antecedentes

PHP2Shell se refiere a una clase de vulnerabilidades en PHP que permiten a los atacantes ejecutar comandos arbitrarios del sistema a través de aplicaciones web. Cuando tales fallas existen en las interfaces de gestión de dispositivos de red, proporcionan una ruta directa para que los atacantes tomen control del sistema operativo subyacente. En este caso, el firewall ejecuta un SO basado en Linux, lo que lo hace susceptible a bugs de escalada de privilegios locales como Fragnesia una vez obtenido el acceso inicial.

Las interfaces de gestión en los firewalls están diseñadas para tareas administrativas y deberían ser accesibles idealmente solo desde redes internas confiables. Exponer estas interfaces a internet público aumenta significativamente la superficie de ataque, ya que permite a cualquiera intentar ataques de fuerza bruta de autenticación o explotar vulnerabilidades sin parchear. Las mejores prácticas dictan restringir el acceso a rangos de IP internos específicos y usar redes privadas virtuales (VPN) para la administración remota.

Por qué importa

Para los equipos que gestionan su propia infraestructura, este incidente destaca la importancia crítica de la segmentación de red y los controles de acceso estrictos. Incluso si parchean sus sistemas rápidamente, exponer los puertos de gestión a internet los deja vulnerables a exploits de día cero o a la rápida explotación de fallas recién divulgadas. La velocidad con la que los actores de amenazas encadenaron estas vulnerabilidades demuestra que las estrategias de defensa en profundidad son esenciales, no opcionales.

Los entornos auto-hospedados a menudo dependen de dispositivos de seguridad perimetral como firewalls para proteger servicios internos. Si el propio firewall es comprometido, toda la red interna se vuelve vulnerable. La extracción de credenciales de Active Directory mencionada en el informe sugiere que los atacantes usan estos puntos de apoyo para moverse lateralmente, potencialmente comprometiendo servidores de correo, bases de datos y otras aplicaciones empresariales críticas. Asegurar que las interfaces de gestión nunca sean accesibles públicamente es un paso fundamental para proteger su stack auto-hospedado.

Qué puede hacer

• Restrinja el acceso inmediatamente: Asegúrese de que las interfaces de gestión del firewall no sean accesibles desde internet público. Permita conexiones solo desde direcciones IP internas confiables.
• Aplique parches: Actualice PAN-OS a las versiones corregidas listadas en el aviso. Verifique las actualizaciones diariamente hasta que todas las versiones relevantes estén parcheadas.
• Habilite la prevención de amenazas: Si no puede parchear inmediatamente, habilite perfiles de prevención de amenazas en el tráfico entrante hacia los servicios de gestión y descifre el tráfico entrante para inspección.
• Audite la exposición: Use herramientas de gestión de superficie de ataque para verificar que ningún puerto de gestión esté accidentalmente expuesto a internet.
• Monitoree los registros: Revise los registros del firewall en busca de patrones de acceso inusuales o intentos fallidos de autenticación en la interfaz de gestión.
• Reemplace certificados: Como medida de mitigación, reemplace el certificado utilizado para la gestión del tráfico entrante para interrumpir posibles ataques de intermediario (man-in-the-middle).