🛡 VULNERABILIDADES 🛡

Emergen informes limitados sobre la explotación de un bug en PHP

⏰30 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Emergen informes limitados sobre la explotación de un bug en PHP

⟫ 29/10/2026 ⟫ The Record

Fuente: The Record

**Vulnerabilidades PHP 2Shell: Un Aviso Urgente para la Ciberseguridad Gubernamental y Corporativa**

En un contexto donde la ciberseguridad se ha convertido en una prioridad global, la reciente explotación de dos vulnerabilidades críticas en PHP, conocidas como CVE-2026-109618 y CVE-2026-109619 —denominadas colectivamente “PHP2Shell”— ha encendido las alarmas tanto en el sector público como en el privado. La gravedad de esta situación se acentúa con el informe de una posible violación de servidores vinculados al gobierno de los Estados Unidos, lo que resalta la vulnerabilidad de infraestructuras críticas frente a actores maliciosos.

La empresa de ciberseguridad GreyNoise ha documentado al menos seis casos de explotación exitosa de estas vulnerabilidades, que han sido añadidas recientemente al catálogo de vulnerabilidades explotadas por el gobierno estadounidense. Como respuesta, se ha dado un plazo hasta el jueves para que las agencias federales apliquen los parches necesarios. Este contexto enfatiza la importancia de la ciberhigiene y la actualización constante de sistemas para mitigar riesgos.

Por su parte, Dream, otra firma de ciberseguridad, ha publicado un extenso informe que detalla una campaña de un actor de amenazas asociado a China, que ha comprometido servidores relacionados con el gobierno estadounidense utilizando la explotación de PHP2Shell, en combinación con otra vulnerabilidad en el software de firewall de un proveedor de gran envergadura, aún no identificado. Kfir Fleischer, vicepresidente de investigación cibernética de Dream, explicó que el atacante utilizó PHP2Shell para ejecutar comandos en el firewall, pero al no lograr un control total, encadenó la explotación con la vulnerabilidad CVE-2026-46300, que afecta a sistemas Linux.

CVE-2026-46300 fue añadida al mismo catálogo de vulnerabilidades explotadas el miércoles, lo que indica la rapidez con la que estas amenazas están evolucionando y siendo utilizadas por los atacantes. Fleischer mencionó que se recuperó una implementación personalizada de PHP2Shell adaptada a la plataforma de firewall específica, junto con perfiles específicos de la versión, registros de explotación y scripts post-explotación. Los registros recuperados documentan explotaciones exitosas, incluyendo la verificación de acceso root mediante la ejecución del comando “id” a través del webshell instalado.

En total, los investigadores descubrieron 24 firewalls comprometidos que otorgaron al hacker la capacidad de extraer credenciales y enumerar directorios. La mayoría de los ataques se llevaron a cabo entre el 23 y el 24 de octubre. Fleischer añadió que están colaborando con el proveedor del firewall y las autoridades pertinentes para investigar sus hallazgos. La Agencia de Seguridad Cibernética e Infraestructura (CISA) se negó a comentar sobre el informe, dirigiendo a los interesados a advertencias anteriores sobre PHP2Shell.

La atribución a un actor chino se basa en el uso de herramientas y modelos de inteligencia artificial conocidos, así como en el idioma chino encontrado en las comunicaciones. Los investigadores de Dream hallaron evidencias de que el código de Claude se había instalado, y que se emplearon plataformas chinas como FOFA, DeepSeek y Kimi para identificar aproximadamente 19,000 firewalls expuestos a Internet. De este grupo, se filtraron unos 5,000 firewalls, que se centraron en servidores localizados únicamente en Estados Unidos, Japón, Taiwán y Corea del Sur. A partir de ahí, se redujo aún más la lista a 240 firewalls basándose en los perfiles de explotación.

De los 24 firewalls atacados, en 22, los hackers se limitaron a instalar webshells que permitirían accesos posteriores. Fleischer explicó que, al llevar a cabo una explotación masiva en todos los objetivos relacionados con las ubicaciones geográficas mencionadas, encontraron dos servidores relacionados con el gobierno entre los firewalls comprometidos, dirigiendo sus esfuerzos hacia ellos y continuando un ataque personalizado sobre esos activos.

El informe indica que ambos servidores estaban asociados con un objetivo concreto y que avanzaron más allá de la etapa inicial. Ambos parecían pertenecer a un entorno relacionado con el gobierno de Estados Unidos. Uno de los firewalls atacados se colapsó y nunca volvió a estar en línea, mientras que el otro fue objeto de ataques repetidos.

El informe destaca que la cadena de explotación de PHP2Shell era no pública y estaba personalizada para los objetivos específicos, algo que decenas de expertos han señalado como necesario para la explotación de la mayoría de los errores de PHP. Aunque el exploit sigue un concepto subyacente similar a otros que han surgido, “parece haber sido desarrollado de manera independiente y adaptado específicamente para la plataforma de firewall atacada”, afirmaron los investigadores.

Una vez dentro, el atacante “se centró en tres servidores específicos en un entorno gubernamental estadounidense”. Dream no pudo determinar la extensión total del compromiso, pero indicó que los hackers probablemente aún tienen acceso remoto persistente a la red interna de la organización, así como un plano organizacional completo a través del listado de usuarios y grupos de Active Directory.

También obtuvieron credenciales de cuentas, claves privadas y una topología de red que incluye direcciones IP, entre otros datos. “Si alguno de estos ataques tuvo éxito, el compromiso se extiende mucho más allá de los firewalls perimetrales, afectando la infraestructura de identidad de la organización”, advirtieron.

Dream concluyó que existe un “enfoque claro” en los objetivos gubernamentales y que la operación demuestra un nivel significativo de preparación y capacidad que la distingue de una simple explotación oportunista. Marcus Hutchins, experto en ciberseguridad de Expel, quien ha estado siguiendo de cerca los intentos de explotación de PHP2Shell, indicó que el informe parece rastrear a un actor de amenazas chino conocido por atacar dispositivos de borde como firewalls, routers y dispositivos VPN.

Hutchins subrayó que la necesidad de encadenar la vulnerabilidad de PHP2Shell con otro exploit de escalada de privilegios se esperaba, ya que permite al atacante “pasar de un acceso de shell sin privilegios a permisos totales de root y kernel, lo que les permite hacer prácticamente cualquier cosa que el dispositivo sea capaz de hacer”. Varios otros expertos coincidieron en que la campaña rastreada por Dream representa una nueva tendencia en el uso de PHP2Shell en el futuro.

John Gallagher de Viakoo advirtió que la misma metodología de usar herramientas de escaneo para encontrar sistemas de tecnología operativa expuestos a Internet mediante PHP2Shell podría aplicarse a muchos otros tipos de dispositivos más allá de los firewalls. “Para cualquier dispositivo al final de su vida útil que utilice PHP2Shell, el tiempo es esencial para reemplazarlos y sacarlos de la red”, concluyó Gallagher.

La creciente sofisticación de tales campañas subraya la necesidad urgente de que empresas y gobiernos fortalezcan sus defensas cibernéticas y adopten una postura proactiva en la gestión de vulnerabilidades, antes de que el costo de una brecha de seguridad se vuelva insostenible.

◢ VULNERABILIDADES ◣

Limited reports of PHP bug exploitation emerge

⟫ 29/10/2026 ⟫ The Record

Source: The Record

Multiple cybersecurity firms are reporting the successful exploitation oftwo recently announced PHP vulnerabilities, including one allegation of a breach involving U.S. government-affiliated servers. Cybersecurity firm GreyNoisesaidit has seen at leastsix successful exploitationsof CVE-2026-109618 and CVE-2026-109619, colloquially known as “PHP2Shell.” The bugs wereaddedto a U.S. government catalog of exploited vulnerabilities this week, and federal agencies were given until Thursday to install patches. Another cybersecurity company, Dream,releaseda lengthy report detailing what it claims is a campaign by a Chinese threat actor involving the compromise of U.S. government-affiliated servers using the PHP2Shell exploit chained with another exploit of a large, unnamed vendor’s firewall software. Kfir Fleischer, Dream’s vice president of cyber research, told Recorded Future News that the attacker used PHP2Shell to execute commands on the firewall but it wasn’t enough to achieve full control, so they chained it with another vulnerability — CVE-2026-46300. The vulnerability, which affects Linux, wasaddedto the same U.S. catalog of exploited bugs on Wednesday. “We recovered a custom PHP2Shell implementation tailored to the targeted firewall platform, version-specific profiles, exploitation logs and post-exploitation scripts,” Fleischer said. “The recovered logs record successful exploitation, including verification of root access by executing the id command through the installed webshell.” Dream did not specify the servers’ affiliation with the government. In total, the researchers found 24 compromised firewalls that gave the hacker the ability to extract credentials and enumerate directories. Most of the attacks took place between October 23 and 24. Fleischer said they are working with the firewall vendor and relevant authorities on investigating their findings. The Cybersecurity and Infrastructure Security Agency (CISA) declined to comment on the report, directing Recorded Future News to previous advisories about PHP2Shell. Fleischer explained that they attributed the campaign to a Chinese actor due to the usage of Chinese language, known Chinese tools and Chinese AI models. Dream researchers found evidence that Claude code had been installed and that Chinese platforms like FOFA, DeepSeek and Kimi were used. FOFA, a Chinese internet asset search engine similar to Shodan, was used to identify about 19,000 internet-facing firewalls. Those were narrowed down to about 5,000 and then the attacker filtered it to find servers located in only the United States, Japan, Taiwan and South Korea. That was narrowed further based on exploit profiles, giving them a target list of 240 firewalls. For 22 of the 24 firewalls attacked, the hackers did nothing beyond plant webshells that would allow later access. “While running mass exploitation on all targets related to the above geo-locations, which also had the relevant firewall version, they found 2 government-related servers among the breached firewalls, which they focused their efforts on, continuing a custom attack on those assets,” Fleischer explained. In the report, the researchers said the two servers were associated with one target and progressed beyond the initial stage. Both appeared to belong to a U.S. government-affiliated environment, they said. One of the firewalls that was attacked crashed and never came back online while the other was repeatedly targeted. The report said the PHP2Shell exploit chain was non-public and customized for the specific targets — something dozens of experts have said will be necessary for most exploitation of the PHP bugs. While the exploit follows the same underlying concept as others that have emerged, it “appears to have been independently developed and tailored specifically for the targeted firewall platform,” they said. Once inside, the attacker “zeroed in on three specific servers in a U.S. government-affiliated environment.” Dream was unable to determine the full extent of the compromise but said the hackers likely have still-active, persistent remote access to the organization’s internal network as well as a complete organizational blueprint through the full Active Directory user and group listing. They also obtained account credentials, private keys and network topology that includes IP addresses and more. “If any of these attacks worked, the compromise extends far beyond the perimeter firewalls into the organization's identity infrastructure,” they said. Dream added that there was a “clear-cut focus” on government targets and the operation demonstrated a significant level of preparation and capability that set it apart from simple opportunistic exploitation. Expel cybersecurity expert Marcus Hutchins – who has been closelytracking PHP2Shell exploitation attempts— said the report appears to be tracking a Chinese threat actor known for targeting edge devices such as firewalls, routers, VPN appliances and more. He noted that the need to chain the PHP2Shell vulnerability with another kernel privilege escalation exploit was expected because it will allow the attacker to “go from unprivileged shell access to full root and kernel permissions, which enables them to do just about anything the device is capable of doing.” Several other experts said the campaign tracked by Dream represents more to the nature of how PHP2Shell will be used in the future. Viakoo’s John Gallagher warned that the same methodology of using scanning tools to find internet exposed operational technology systems using PHP2Shell could be used across many other types of devices beyond firewalls. “For any end-of-life devices using PHP2Shell, time is of the essence to get them replaced and off the network,” Gallagher said. is a Breaking News Reporter at Recorded Future News. Jonathan has worked across the globe as a journalist since 2014. Before moving back to New York City, he worked for news outlets in South Africa, Jordan and Cambodia. He previously covered cybersecurity at ZDNet and TechRepublic.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD