Atacantes de habla china toman firewalls con PHP2Shell y una falla de Linux

Un grupo de atacantes tomó el control total de 24 firewalls de Palo Alto Networks en Estados Unidos, Japón, Taiwán y Corea del Sur combinando PHP2Shell, las fallas críticas de PHP, con Fragnesia, una falla del núcleo de Linux, según el informe de Dream Research. Las fallas de PHP se conocieron el 21 de octubre y hasta ahora los reportes eran sobre todo de intentos de ataque. El 29 de octubre, la unidad de investigación Unit 42 de Palo Alto confirmó la cadena y dijo que verificó por su cuenta las herramientas y los resultados del atacante.

LatamByte ya había contado los intentos de ataque en la región y las fechas que Palo Alto puso para corregir sus firewalls.

Qué es la falla

PHP2Shell son dos errores en PHP, el lenguaje de gran parte de los sitios web, que permiten ejecutar código a distancia sin usuario ni contraseña. PAN-OS, el sistema de los firewalls de Palo Alto, usa PHP en su consola web de administración. Por esa puerta el atacante entraba con permisos limitados, y ahí aparece Fragnesia, una falla de escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root. que convierte a un usuario común en administrador total (root) del equipo.

La agencia de ciberseguridad de Estados Unidos (CISA) sumó Fragnesia a su catálogo de fallas explotadas el 28 de octubre y escribió en la ficha del catálogo que se puede encadenar con PHP2Shell "para implantar puertas traseras en PHP y ejecutar comandos como root". La falla de Linux se corrigió en mayo y tiene una prueba de concepto pública, según BleepingComputer.

24 o 25, según quién cuente

Las cifras publicadas no coinciden. The Record habla de 24 firewalls comprometidos. Help Net Security y BleepingComputer hablan de 25 servidores. El informe de Dream aclara que en la tanda masiva cayeron 24 firewalls y que después el atacante tomó un servidor interno de gestión de firewalls, lo que suma 25 equipos. Palo Alto no dio un número de equipos. Unit 42 dijo que el impacto alcanzó a cerca del 0,02 % de los equipos que la empresa tiene instalados en el mundo, todos con la consola expuesta, y que avisó a esos clientes uno por uno.

Con los equipos de gobierno pasa lo mismo. The Record cuenta dos de un organismo vinculado al gobierno de Estados Unidos y BleepingComputer, tres. Según Dream, son dos firewalls más el servidor de gestión, que guarda las configuraciones y credenciales de todos ellos.

El primer firewall de ese organismo cayó el 23 de octubre a las 18:14 UTC (15:14 en Buenos Aires y São Paulo, 13:14 en Bogotá y Lima, 12:14 en Ciudad de México) y no volvió a funcionar. En los otros 22, el atacante solo dejó una puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales.. Dream los describe como equipos "tomados y estacionados".

Estado de explotación

Explotada. Lo confirmaron Dream, Unit 42 y el aviso de Palo Alto, que habla de explotación activa contra la consola de administración expuesta a internet. GreyNoise, que monitorea ataques en internet, registró al menos seis explotaciones exitosas de PHP2Shell, según The Record.

La atribución a China sale de Dream, no de un gobierno. La empresa no nombra a un grupo, pero enumera indicios como el buscador de equipos chino FOFA, los modelos de IA DeepSeek y Kimi, instrucciones en chino y horarios de la zona UTC+8. CISA no quiso comentar el informe. Dream lo dice con todas las letras: "Hubo un foco claro en blancos de gobierno". No hay víctimas confirmadas en Latinoamérica.

Qué hacer

• Sacar ya de internet la consola de administración de PAN-OS y limitarla a direcciones internas de confianza, como pide Unit 42.
• Instalar las versiones corregidas de PAN-OS que Palo Alto publicó entre el 25 y el 29 de octubre, según la rama,.
• Actualizar PHP a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 en cualquier otro servidor, y el núcleo de Linux con los paquetes de cada distribución.
• Buscar archivos PHP extraños en /unauth/php/ y la carpeta /usr/local/lib/.panops/, que Dream encontró en los equipos atacados.
• Si hubo intrusión, cambiar claves, certificados y contraseñas de las cuentas de servicio del firewall.

Ficha técnica

• PHP2Shell: CVE-2026-109618 y CVE-2026-109619, CVSS 4.0 de 9,2 según PHP. En la escala CVSS 3.1, la base NVD les da 9,8 y 8,1 (ficha de NVD).
• Fragnesia: CVE-2026-46300, CVSS 3.1 de 7,8, vector local AV:L/AC:L/PR:L/UI:N, CWE-456 (ficha de NVD).
• Equipos atacados: PAN-OS 12.1 y 12.2 con la consola de administración expuesta a internet.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: PHP2Shell el 26 de octubre, con plazo al 29 de octubre para las agencias federales de Estados Unidos. Fragnesia el 28 de octubre, con plazo al 31 de octubre.
• Aviso del fabricante: Palo Alto Networks.