PHP2Shell ya se usa contra firewalls de Palo Alto Networks expuestos a internet
Palo Alto Networks ha confirmado que las dos vulnerabilidades críticas PHP2Shell se están explotando activamente contra interfaces de administración de PAN-OS accesibles desde internet. La corrección en el proyecto PHP salió hace apenas una semana, y la ventana entre el parche y su uso ofensivo ya se ha cerrado.
Qué ocurrió
Las fallas se identifican como CVE-2026-109618 y CVE-2026-109619, ambas con puntuación CVSS 9.2. Permiten a un atacante no autenticado ejecutar código arbitrario en cualquier sistema que incluya una versión vulnerable de PHP. El proyecto PHP publicó las versiones corregidas (8.5.12, 8.4.27, 8.3.36 y 8.2.35) el 21 de octubre de 2026.
PAN-OS integra PHP en su pila web de administración, y es exactamente ahí donde están impactando los ataques. El aviso actualizado del fabricante indica que la explotación activa alcanza la interfaz web HTTPS y la API XML de firewalls y dispositivos Panorama cuyo servicio de administración está abierto a internet. No se requiere ninguna configuración especial para que un equipo esté afectado. El plano de datos solo corre riesgo si se ha asociado un perfil de administración a una interfaz de tráfico.
En los días previos al aviso, se observó a un grupo de intrusión presuntamente vinculado a China encadenando PHP2Shell con Fragnesia (CVE-2026-46300, CVSS 7.8), una vulnerabilidad de escalada local de privilegios en el kernel de Linux. La combinación dio a los operadores acceso root en unos 25 servidores de Estados Unidos, Japón, Taiwán y Corea del Sur, incluidos tres sistemas de un entorno afiliado al gobierno estadounidense. Los equipos comprometidos ejecutaban software de firewall de un fabricante importante y, una vez dentro, los atacantes fueron contra Active Directory: los artefactos recuperados muestran extracción de credenciales y enumeración del directorio.
El fabricante del firewall implicado en esas intrusiones no ha sido identificado, por lo que el vínculo directo con la campaña contra Palo Alto Networks sigue sin confirmarse. El momento, y la ausencia de informes similares de otros fabricantes de seguridad de red, hacen que la conexión sea plausible.
La agencia estadounidense CISA ha añadido CVE-2026-46300 a su catálogo de vulnerabilidades explotadas conocidas (KEV) y fijó el 31 de octubre de 2026 como plazo de corrección para las agencias federales. CISA señala que el fallo del kernel puede encadenarse con las dos vulnerabilidades de PHP para implantar web shells y ejecutar comandos como root.
Por qué importa
El plano de administración de un firewall es la llave de toda la infraestructura. Un atacante con root en el dispositivo puede leer y modificar políticas, recolectar credenciales, interceptar sesiones VPN y de administración y pivotar directamente hacia la red interna. La actividad contra Active Directory vista en las intrusiones relacionadas demuestra que no se trata de un ataque oportunista: los operadores usan el firewall como cabeza de playa.
La condición de exposición es simple y frecuente. Cualquier despliegue de PAN-OS cuya interfaz de administración responda a direcciones externas arbitrarias es un objetivo potencial, independientemente del resto de la configuración.
Versiones de PAN-OS afectadas
Las compilaciones corregidas se publican por rama; algunas todavía llegarán en los próximos dos días.
| Rama | Corregido en |
|---|---|
| PAN-OS 12.2 | 12.2.4-h1 |
| PAN-OS 12.1 | 12.1.4-h13 (previsto 29 oct), 12.1.7-h11, 12.1.10-h3 (previsto 30 oct) |
| PAN-OS 11.2 | 11.2.4-h23 (previsto 30 oct), 11.2.7-h23, 11.2.10-h16, 11.2.13-h4, 11.2.16-h1 |
| PAN-OS 11.1 | 11.1.4-h38, 11.1.6-h40, 11.1.7-h12 (previsto 30 oct), 11.1.10-h36, 11.1.13-h16, 11.1.16-h4 |
| PAN-OS 10.2 | 10.2.7-h39 (previsto 30 oct), 10.2.10-h42 (previsto 29 oct), 10.2.13-h27, 10.2.16-h12, 10.2.18-h13 |
Cualquier compilación anterior al hotfix indicado para su rama es vulnerable.
Qué hacer
- Localice cada interfaz de administración de PAN-OS y Panorama accesible desde internet. Es la única condición que lo pone en la línea de fuego. Restrinja el acceso de administración a direcciones internas de confianza, medida que el propio fabricante describe como el principal reductor de riesgo.
- Actualice al hotfix corregido de su rama en cuanto esté disponible. Tome el plazo del 31 de octubre de CISA como una referencia razonable aunque no sea una agencia federal.
- Si su corrección aún no está publicada, aplique las mitigaciones provisionales: enrute el tráfico de administración por un puerto del plano de datos con perfil de administración, reemplace el certificado del tráfico de administración entrante, descifre el tráfico hacia la interfaz de administración para que el firewall pueda inspeccionarlo y active la prevención de amenazas sobre ese tráfico. Los clientes con Frontier Virtual Patching (ATP Plus) en PAN-OS 12.2.4 o posterior cuentan con cobertura por firma (Threat ID 543004) desde el 20 de octubre.
- Busque compromiso, no solo exposición. Revise los registros de acceso del plano de administración en busca de direcciones de origen inesperadas, busque archivos PHP desconocidos en la raíz web, vigile procesos root anómalos y audite Active Directory en busca de enumeraciones o volcados de credenciales originados desde la dirección del firewall.
- Parchee PHP en todas partes. PHP2Shell no es específico de firewalls; cualquier aplicación PHP expuesta a internet sobre un runtime antiguo conlleva el mismo riesgo de ejecución remota de código sin autenticación.
Las interfaces de administración expuestas son exactamente el tipo de hallazgo que pasa desapercibido hasta que un aviso del fabricante obliga a plantear la pregunta. Nuestro servicio de Attack Surface Management mapea de forma continua lo que su organización expone a internet, señala los paneles administrativos y los puertos de administración de dispositivos en cuanto aparecen y le indica cuáles ejecutan una versión con una vulnerabilidad explotada conocida, para que la pregunta de esta semana tenga respuesta antes de que llegue el próximo aviso.