Un atacante obtuvo acceso root en 25 servidores que ejecutaban el software de firewall de un proveedor, incluidos tres en un entorno vinculado al Gobierno de EE. UU., según hallazgos de la empresa de ciberseguridad Dream difundidos por The Hacker News. La operación combinó vulnerabilidades de PHP con un exploit del kernel de Linux y luego utilizó un firewall comprometido para llegar a sistemas internos y atacar Active Directory.
El informe del 28 de octubre describe actividad observada el 25 de octubre de 2026, y los artefactos recuperados sitúan compromisos individuales en los días 23 y 24 de octubre. Dream dijo que había notificado al proveedor del firewall, cuyo nombre no se divulgó en el informe.
El ataque vinculó PHP2Shell —CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código sin autenticación— con Fragnesia, una vulnerabilidad de escalada local de privilegios identificada como CVE-2026-46300. Esta última permitió al atacante elevar su acceso a root y le dio control administrativo sobre los sistemas afectados.
Según Dream, la implementación recuperada de PHP2Shell era una compilación personalizada y no pública, adaptada a la plataforma del firewall. Se dirigía al mecanismo session.upload_progress de PHP en el servidor de administración appweb del firewall. El software objetivo utilizaba PHP 8.0.30 con un límite de memoria elevado que permitía las etapas de corrupción de memoria del exploit. Esas condiciones son relevantes: los hallazgos no establecen que todas las instalaciones de PHP expuestas a internet fueran vulnerables a esta implementación.
De firewalls expuestos a cuentas internas
La reconstrucción de Dream describe un proceso de selección que comenzó con aproximadamente 19.000 firewalls expuestos a internet cuyas interfaces de administración estaban expuestas. Un escáner personalizado obtuvo información sobre la versión del sistema operativo de unos 5.000 dispositivos. El filtrado por sistemas de EE. UU., Japón, Taiwán y Corea del Sur, y por ramas de versión más recientes que ejecutaban PHP 8.0.30, redujo la lista a 240 objetivos.
Después, un runner automatizado lanzó la cadena de exploits, instaló webshells PHP en directorios accesibles públicamente y comprobó si había acceso root. Dream atribuyó a esa etapa 24 servidores con acceso root, y un compromiso interno posterior elevó el total a 25.
Según la reconstrucción, uno de los sistemas vinculados al Gobierno sufrió una caída poco después de que se obtuviera acceso root en él el 23 de octubre y no volvió a estar en línea. El atacante utilizó otro sistema comprometido para establecer un túnel SSH inverso —una conexión de vuelta a su infraestructura que proporcionaba una ruta persistente hacia la red interna—. Un tercer servidor vinculado al Gobierno, un servidor interno de administración del firewall accesible solo a través de ese túnel, fue comprometido el 24 de octubre.
Dream dijo que los artefactos recuperados confirmaron la extracción de credenciales y la enumeración de directorios. La actividad reportada en Active Directory incluyó el descifrado de la contraseña de una cuenta de servicio LDAP, el listado de usuarios y la prueba de contraseñas relacionadas con la organización en cuentas de usuario. El atacante también intentó crear cuentas backdoor. No está claro si esos intentos de contraseña permitieron obtener credenciales válidas o si la creación de cuentas tuvo éxito, lo que deja sin resolver el alcance completo del compromiso.
Dream informó de la presencia de webshells activas en los otros 22 firewalls con acceso root y estimó que el túnel del entorno gubernamental probablemente seguía en funcionamiento.
La participación de la IA y la atribución siguen siendo valoraciones
Los indicios que sugerían asistencia de IA incluían Claude Code instalado en la infraestructura del ataque, claves de API de FOFA y la plataforma de seguridad ofensiva aiscan, configurada con los modelos DeepSeek y Kimi. Dream también citó similitudes en la estructura y en los comentarios de casi 40 scripts. Estas observaciones sugieren un desarrollo asistido por IA; no establecen qué acciones llevó a cabo la IA.
Dream calificó al actor como posiblemente vinculado a China, citando la selección geográfica de los objetivos. Esa atribución sigue siendo una valoración.
Por separado, el catálogo de vulnerabilidades explotadas conocidas de CISA añadió ambas vulnerabilidades de PHP2Shell el 26 de octubre, con fecha límite de actuación el 29 de octubre. Ambas entradas instan a aplicar mitigaciones indicadas por el proveedor y a realizar un triaje forense, evaluar la exposición a internet y suspender el uso si no se dispone de mitigaciones. El catálogo acredita la explotación conocida de las vulnerabilidades de PHP; no confirma de forma independiente el relato de Dream sobre esta operación.
