Palo Alto Networks ha confirmado que los atacantes encadenaron vulnerabilidades de PHP2Shell con una falla del kernel de Linux para obtener acceso root (el nivel más alto de control del sistema) en sus cortafuegos, SecurityWeek informa. Los administradores con interfaces de gestión expuestas a internet deben restringir el acceso de inmediato e instalar las correcciones del fabricante.
Los productos afectados incluyen los cortafuegos PA-Series y VM-Series y los dispositivos de gestión Panorama, incluidas las implementaciones virtuales y M-Series. Los parches cubren PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2. Palo Alto Networks afirma que las interfaces de gestión no están expuestas a internet de forma predeterminada, pero la explotación activa ha tenido como objetivo las interfaces expuestas, y no se requiere ninguna configuración especial para que las vulnerabilidades se apliquen.
SecurityWeek informa que Dream identificó al menos 25 cortafuegos comprometidos de un grupo de cientos y vinculó la campaña con un grupo de hackers relacionado con China. Palo Alto Networks señaló que su equipo Unit 42 verificó de forma independiente las herramientas del atacante y confirmó los resultados de Dream. La empresa indicó que aproximadamente un 0,02 % de su base instalada global tenía interfaces de gestión expuestas a internet configuradas y resultó afectada; sus equipos contactaron individualmente a esos clientes.
El ataque combina CVE-2026-109618 y CVE-2026-109619, denominadas colectivamente PHP2Shell, con Fragnesia, una vulnerabilidad del kernel de Linux que permite a los atacantes elevar sus privilegios. Las vulnerabilidades de PHP permiten la ejecución remota de código al gestionar mal la memoria durante el procesamiento de errores. En esta campaña, la cadena permitió a los atacantes instalar webshells (scripts que proporcionan acceso remoto) con privilegios root.
Los intentos de explotación más amplios han tenido resultados dispares. SecurityWeek informa que Defiant, una empresa de seguridad para WordPress, registró más de 77.000 solicitudes relacionadas procedentes de más de 2.000 direcciones IP, aunque a fecha del 28 de octubre no tenía conocimiento de ningún sitio de WordPress comprometido mediante PHP2Shell. Las pruebas de Defiant revelaron que los exploits suelen requerir ajustes según la versión de PHP del objetivo, los límites de memoria, las extensiones y el manejo de las solicitudes. Instó a los operadores de sitios a actualizar PHP, ya que una explotación exitosa podría exponer archivos, bases de datos y contraseñas.
El aviso de Palo Alto Networks, publicado el 21 de octubre y actualizado el 29 de octubre, enumera las versiones de actualización objetivo dentro de cada rama de versiones:
- PAN-OS 12.2: 12.2.4-h1 o posterior.
- PAN-OS 12.1: 12.1.10-h3 o posterior.
- PAN-OS 11.2: 11.2.16-h1 o posterior.
- PAN-OS 11.1: 11.1.16-h4 o posterior.
- PAN-OS 10.2: 10.2.18-h13 o posterior.
El aviso también incluye correcciones para ramas de mantenimiento anteriores. Los hotfixes publicados corrigen ambas vulnerabilidades de PHP. Los administradores deben aplicar la actualización correspondiente y, siguiendo las indicaciones del fabricante, restringir el acceso de gestión a direcciones IP internas de confianza.
