Expertos en ciberseguridad han difundido los pormenores de un ataque que parece haber contado con el respaldo de inteligencia artificial, presuntamente ejecutado por un grupo de amenazas vinculado a China. El vector principal fueron las vulnerabilidades PHP2Shell, que permitieron comprometer sistemas expuestos.
La intrusión, fechada el 25 de octubre de 2026, combinó PHP2Shell con un exploit de escalada de privilegios en el kernel para lograr acceso root en 25 servidores, tres de ellos pertenecientes a un entorno afiliado al Gobierno de Estados Unidos. La firma de ciberseguridad Dream detalló que los equipos afectados ejecutan versiones específicas del software de cortafuegos de un proveedor de gran envergadura. Desde allí, el atacante lanzó ofensivas contra Active Directory, y los artefactos recuperados confirman la extracción de credenciales y la enumeración del directorio. Aunque no se identificó al proveedor afectado, la compañía israelí afirmó haber notificado a la entidad correspondiente.
Dos vulnerabilidades encadenadas
La cadena de ataque involucra dos conjuntos de fallos que afectan a PHP y al kernel de Linux:
- PHP2Shell: un par de vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 (puntuación CVSS de 9,2) que podrían permitir la ejecución remota de código sin autenticación.
- Fragnesia: una vulnerabilidad de escalada local de privilegios en el kernel de Linux registrada como CVE-2026-46300 (puntuación CVSS de 7,8).
Los investigadores de Dream señalaron que la implementación recuperada es una compilación personalizada y no pública, no una copia de ningún exploit conocido de PHP2Shell. Sigue el mismo concepto subyacente, pero parece haber sido desarrollada de forma independiente y adaptada específicamente a la plataforma de cortafuegos atacada. La vulnerabilidad se dirige al mecanismo session.upload_progress de PHP en el servidor de gestión appweb del cortafuegos. El sistema operativo del dispositivo utiliza PHP 8.0.30 con un límite de memoria elevado que permite las fases de corrupción de memoria del ataque.
Ataque en cuatro países y acceso a Active Directory
El uso personalizado de esta cadena de exploits, junto con CVE-2026-46300, habría permitido obtener root en 25 servidores repartidos entre Estados Unidos, Japón, Taiwán y Corea del Sur. Los artefactos hallados por Dream indican que la operación comenzó con el desarrollo del exploit en un entorno de laboratorio antes de lograr acceso persistente al dominio interno de Active Directory de una organización gubernamental estadounidense.
Una vez obtenido el acceso root, el atacante se centró en tres servidores concretos de un entorno afiliado al Gobierno de Estados Unidos. Los indicios de herramientas asistidas por inteligencia artificial apuntan a la instalación de Claude Code, de Anthropic, en la infraestructura del ataque, así como a la presencia de claves API de FOFA y de una plataforma de seguridad ofensiva impulsada por IA llamada aiscan, configurada con modelos de lenguaje de gran tamaño de DeepSeek y Kimi. Además, la estructura del código, el estilo de los comentarios y la coherencia entre casi 40 scripts sugieren el uso de IA para reforzar el proceso de desarrollo.
Así se desarrolló la operación
Según Dream, la operación se desplegó en las siguientes fases:
- El atacante usó FOFA para identificar aproximadamente 19.000 cortafuegos con interfaces de gestión expuestas a internet en todo el mundo.
- Ejecutó un escáner de versiones personalizado para determinar qué dispositivos estaban en línea y qué versión de sistema operativo ejecutaban. Unos 5.000 dispositivos respondieron con la información de versión.
- Filtró los servidores por ubicación en Estados Unidos, Japón, Taiwán y Corea del Sur, y luego limitó el alcance a sistemas de ramas de versión recientes con PHP 8.0.30. Este paso arrojó 240 objetivos.
- La lista de objetivos se introdujo en un ejecutor automatizado por lotes que explotaba la cadena PHP2Shell-Fragnesia, instalaba una web shell PHP en un directorio accesible públicamente del cortafuegos, verificaba el acceso root y registraba el nombre de host y la IP del objetivo en un archivo CSV. Con ello, el atacante obtuvo root en 24 servidores.
- Dos de los sistemas comprometidos se identificaron como pertenecientes a una organización afiliada al Gobierno estadounidense. Uno de ellos dejó de funcionar poco después de ser comprometido, el 23 de octubre de 2026 a las 18:14 UTC, y nunca volvió a estar en línea. El atacante llevó a cabo una campaña específica para lograr root con éxito en un segundo sistema el 24 de octubre de 2026 a las 10:09 UTC.
- El atacante explotó el segundo sistema para construir un canal persistente hacia la red interna mediante un túnel SSH inverso que conectaba el cortafuegos comprometido con la infraestructura del operador. A las 11:35 UTC, un tercer servidor gubernamental fue comprometido con el mismo método; la única diferencia era que se trataba de un servidor interno de gestión de cortafuegos accesible solo a través del túnel. El total de servidores con root alcanzó los 25.
- El atacante se dirigió a Active Directory para descifrar la contraseña de la cuenta de servicio LDAP, enumerar usuarios y probar contraseñas de forma masiva contra todas las cuentas, usando claves temáticas de la organización, con el fin de extraer credenciales. La operación también intentó crear cuentas de Active Directory como puerta trasera.
No está claro si la actividad permitió al actor de amenazas encontrar credenciales válidas o crear cuentas puerta trasera. Por ello, el alcance completo del compromiso sigue siendo indeterminado.
Dado que Estados Unidos, Japón, Taiwán y Corea del Sur son los cuatro principales adversarios estratégicos y objetivos de inteligencia de las operaciones cibernéticas alineadas con el Estado chino en el teatro del Pacífico, esto indica posibles esfuerzos de adversarios estatales.
Dream también advirtió de que la operación muestra cómo una interfaz de gestión expuesta puede convertirse en una vía de entrada a la infraestructura de identidad de una organización. Los otros 22 cortafuegos comprometidos siguen con web shells activas, el túnel persistente hacia la organización gubernamental estadounidense probablemente sigue funcionando y el atacante conserva 19.000 objetivos perfilados a los que puede volver a medida que desarrolle perfiles para otras versiones de sistema operativo.
La revelación se produce cuando las vulnerabilidades PHP2Shell solo han registrado una explotación limitada en el mundo real. Los actores de amenazas han señalado las dificultades para convertir una prueba de concepto en un vector de ataque fiable contra objetivos reales, pese a integrarlas en sus campañas.
En la práctica es una porquería no explotable. Para explotar objetivos reales necesitas los offsets de libphp.so, que son únicos para cada compilación y es imposible forzarlos por fuerza bruta. Puedes reproducirlo en tu propio banco de pruebas, o si ya tienes acceso al sistema de archivos del objetivo.
Deja una respuesta