Palo Alto Networks ha emitido una alerta este miércoles sobre la explotación activa de las vulnerabilidades PHP2Shell, recientemente corregidas, contra interfaces de gestión expuestas a Internet. La compañía de seguridad de redes actualizó su aviso para confirmar que se ha observado actividad maliciosa dirigida a dichas interfaces.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619 con una puntuación CVSS de 9.2, permiten a los atacantes lograr ejecución remota de código sin autenticación en sistemas que ejecutan versiones afectadas de PHP. Los problemas fueron parcheados por la Fundación PHP el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Este desarrollo se produce días después de que la firma israelí de ciberseguridad Dream informara que un presunto actor de amenazas vinculado a China estaba weaponizando los fallos junto con un error de escalada de privilegios locales en el kernel de Linux, denominado Fragnesia (CVE-2026-46300, CVSS 7.8), para obtener acceso root en 25 servidores ubicados en Estados Unidos, Japón, Taiwán y Corea del Sur. Entre los sistemas comprometidos se encontraban tres pertenecientes a un entorno afiliado al gobierno de EE.UU.
Los dispositivos afectados ejecutan versiones específicas del software de firewall de un gran proveedor. El atacante lanzó entonces ataques contra Active Directory. Los artefactos recuperados confirman la extracción de credenciales y la enumeración de directorios.
Aunque Dream no reveló el nombre del proveedor del firewall afectado, la coincidencia temporal del aviso y el hecho de que otras compañías de seguridad de redes no hayan reportado explotación maliciosa contra sus productos sugieren que estos eventos podrían estar relacionados. The Hacker News ha contactado tanto a Dream como a Palo Alto Networks para obtener comentarios y actualizará la información si recibe respuesta.
La situación ha llevado a la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) a incluir CVE-2026-46300 en su catálogo de vulnerabilidades explotadas conocidas (KEV), exigiendo a las agencias federales aplicar las correcciones antes del 31 de octubre de 2026.
Esta vulnerabilidad puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root.
Palo Alto Networks también ha señalado que no se requiere ninguna configuración especial para verse afectado, y que el riesgo es máximo en PAN-OS cuando se permite el acceso a la interfaz de gestión desde direcciones IP externas en Internet. La compañía especificó que el problema afecta estrictamente a la interfaz web de gestión, que incluye la interfaz de usuario web HTTPS y el servicio API XML, y que solo afecta a la interfaz del plano de datos si se le adjunta un perfil de gestión.
Versiones de PAN-OS afectadas
- PAN-OS 12.2: versiones anteriores a 12.2.4-h1 (corregido en >= 12.2.4-h1)
- PAN-OS 12.1: versiones anteriores a 12.1.4-h13 (corregido en >= 12.1.4-h13, ETA: 29/10); anteriores a 12.1.7-h11 (corregido en >= 12.1.7-h11); anteriores a 12.1.10-h3 (corregido en >= 12.1.10-h3, ETA: 30/10)
- PAN-OS 11.2: versiones anteriores a 11.2.4-h23 (corregido en >= 11.2.4-h23, ETA: 30/10); anteriores a 11.2.7-h23 (corregido en >= 11.2.7-h23); anteriores a 11.2.10-h16 (corregido en >= 11.2.10-h16); anteriores a 11.2.13-h4 (corregido en >= 11.2.13-h4); anteriores a 11.2.16-h1 (corregido en >= 11.2.16-h1)
- PAN-OS 11.1: versiones anteriores a 11.1.4-h38 (corregido en >= 11.1.4-h38); anteriores a 11.1.6-h40 (corregido en >= 11.1.6-h40); anteriores a 11.1.7-h12 (corregido en >= 11.1.7-h12, ETA: 30/10); anteriores a 11.1.10-h36 (corregido en >= 11.1.10-h36); anteriores a 11.1.13-h16 (corregido en >= 11.1.13-h16); anteriores a 11.1.16-h4 (corregido en >= 11.1.16-h4)
- PAN-OS 10.2: versiones anteriores a 10.2.7-h39 (corregido en >= 10.2.7-h39, ETA: 30/10); anteriores a 10.2.10-h42 (corregido en >= 10.2.10-h42, ETA: 29/10); anteriores a 10.2.13-h27 (corregido en >= 10.2.13-h27); anteriores a 10.2.16-h12 (corregido en >= 10.2.16-h12); anteriores a 10.2.18-h13 (corregido en >= 10.2.18-h13)
Para las versiones de PAN-OS en las que aún no hay parches disponibles, Palo Alto Networks ha recomendado las siguientes mitigaciones:
- Dirigir el tráfico entrante al puerto MGT a través de un puerto DP, por ejemplo, habilitando un perfil de gestión en una interfaz DP para el acceso de gestión.
- Reemplazar el certificado para la gestión de tráfico entrante.
- Descifrar el tráfico entrante a la interfaz de gestión para que el firewall pueda inspeccionarlo.
- Habilitar la prevención de amenazas en el tráfico entrante a los servicios de gestión.
La compañía añadió que los clientes con Frontier Virtual Patching (ATP Plus) en PAN-OS 12.2.4 y versiones posteriores recibieron cobertura anticipada mediante el ID de amenaza 543004, publicado a las 22:21 PT del 20 de octubre. Asimismo, recordó que el riesgo de seguridad que supone este problema en PAN-OS y Panorama se minimiza restringiendo el acceso a la interfaz de gestión únicamente a direcciones IP internas de confianza, de acuerdo con sus directrices de implementación recomendadas.
Deja una respuesta