Investigadores han confirmado los primeros compromisos exitosos relacionados con PHP2Shell, un conjunto de vulnerabilidades críticas en PHP. Según la firma de ciberseguridad Dream, actores de amenazas presuntamente vinculados a China utilizaron estas fallas para vulnerar 25 servidores, algunos asociados con organizaciones del Gobierno de Estados Unidos.
El caso demuestra cómo una vulnerabilidad expuesta puede convertirse rápidamente en una intrusión de gran alcance. Los atacantes combinaron PHP2Shell con Fragnesia, una falla de escalada de privilegios en el kernel de Linux, para obtener acceso root y establecer persistencia en dispositivos de firewall Palo Alto Networks que ejecutaban versiones vulnerables de PAN-OS.
## De la explotación inicial al acceso root
Los investigadores sitúan el inicio de la actividad el 23 de octubre de 2026. Las primeras sondas se dirigieron a organizaciones de Estados Unidos, Japón, Taiwán y Corea del Sur; luego, la actividad se concentró en dispositivos Palo Alto Networks expuestos a internet.
Una vez dentro, los atacantes aprovecharon Fragnesia, identificada como CVE-2026-46300, para elevar privilegios desde una cuenta sin permisos hasta root. Dream informó que los intrusos ejecutaron cerca de 40 scripts personalizados posteriores a la explotación.
La velocidad de la operación resulta especialmente preocupante. Según la empresa, la cadena completa —desde una conexión HTTPS no autenticada hasta la instalación de una webshell persistente con privilegios root— podía completarse en menos de 15 minutos. En un incidente, los atacantes habrían utilizado un firewall comprometido para acceder a la red interna, vulnerar un tercer servidor con PHP2Shell e iniciar actividades contra Active Directory en cuestión de horas.
## Una amenaza que pasó de los intentos a las intrusiones
Cuando se divulgaron las vulnerabilidades de PHP2Shell, la preocupación fue inmediata: PHP sustenta una parte importante de los sitios web y las aplicaciones en línea, y al principio no había una actualización disponible. Durante los primeros días se observaron numerosos intentos de explotación, pero no se habían confirmado intrusiones exitosas.
Algunos especialistas señalaron que las protecciones de memoria, como ASLR, podían dificultar los ataques. Sin embargo, también advirtieron que esos obstáculos no necesariamente impedirían una explotación exitosa. Los hallazgos de Dream refuerzan esa advertencia: los intentos pueden evolucionar rápidamente a compromisos cuando los sistemas siguen expuestos y sin corregir.
## Herramientas de reconocimiento y posible acceso persistente
Dream indicó que los atacantes utilizaron FOFA, un buscador de dispositivos conectados a internet, para identificar alrededor de 19.000 firewalls Palo Alto Networks potencialmente accesibles. La empresa también halló herramientas y configuraciones asociadas con Claude Code, AIscan y modelos de inteligencia artificial chinos como DeepSeek y Kimi. No obstante, los investigadores creen que la operación no fue completamente automatizada ni impulsada por IA.
La investigación no determinó el objetivo final de los atacantes. Entre las posibilidades figuran el robo de credenciales, la instalación de puertas traseras y la extracción de información. Dream también advirtió que los intrusos podrían conservar acceso a los sistemas afectados.
## Medidas prioritarias para las organizaciones
Las organizaciones que utilizan dispositivos afectados deberían aplicar de inmediato las actualizaciones de seguridad pertinentes, revisar los registros en busca de actividad sospechosa y comprobar si existen webshells, cuentas inesperadas o cambios no autorizados. También es fundamental restringir el acceso a las interfaces de administración: los paneles de gestión de firewalls no deberían estar expuestos directamente a internet.
El incidente pone de relieve la importancia de combinar la aplicación oportuna de parches con la segmentación de redes, la supervisión continua y planes de respuesta a incidentes. Cuando una vulnerabilidad permite el acceso inicial y se encadena con una falla de escalada de privilegios, el paso de un dispositivo expuesto a una red corporativa comprometida puede producirse en minutos.
from Latest from TechRadar https://ift.tt/unlkjgJ
via IFTTT IA
