Palo Alto Networks confirmó el miércoles que atacantes explotan las vulnerabilidades conocidas como PHP2Shell contra interfaces de gestión de PAN-OS expuestas a internet. PAN-OS es el sistema operativo de sus firewalls y de la consola Panorama. El riesgo es alto: un atacante sin credenciales puede tomar el control del equipo que protege el perímetro de la red.
Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619 (CVSS 9.2), residen en PHP, el lenguaje que usa la interfaz web de administración. Permiten ejecución remota de código sin autenticación, es decir, ejecutar comandos en el equipo sin iniciar sesión. La PHP Foundation las corrigió el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según Palo Alto, no se requiere ninguna configuración especial para ser vulnerable. La falla afecta la interfaz web de gestión (la consola HTTPS y la API XML). Las interfaces de datos solo quedan expuestas si tienen asociado un perfil de gestión.
La empresa israelí Dream reportó días antes a un actor presuntamente vinculado a China que encadenó PHP2Shell con Fragnesia (CVE-2026-46300, CVSS 7.8). Fragnesia es una falla de escalamiento local de privilegios en el kernel de Linux: permite pasar de un usuario limitado a administrador total (root).
Con esta combinación, el atacante comprometió 25 servidores en Estados Unidos, Japón, Taiwán y Corea del Sur. Entre ellos había tres sistemas de un entorno vinculado al gobierno estadounidense. Después atacó Active Directory, el servicio que administra usuarios y contraseñas corporativas. Allí extrajo credenciales y enumeró el directorio.
Dream no nombró al fabricante, pero The Hacker News lo relaciona con Palo Alto por la coincidencia de fechas. Cisco y Fortinet publicaron avisos sobre PHP2Shell, pero no han reportado explotación maliciosa contra sus productos.
La agencia estadounidense CISA agregó CVE-2026-46300 a su catálogo KEV de vulnerabilidades explotadas activamente. Las agencias federales deben corregirla antes del 31 de octubre de 2026. CISA advierte que la cadena permite implantar web shells PHP (puertas traseras accesibles vía web) y ejecutar comandos como root.
Palo Alto publicó estas versiones corregidas de PAN-OS. Cualquier versión anterior al hotfix de su rama es vulnerable:
- PAN-OS 12.2: 12.2.4-h1.
- PAN-OS 12.1: 12.1.4-h13 (fecha estimada: 29 de octubre), 12.1.7-h11 y 12.1.10-h3 (fecha estimada: 30 de octubre).
- PAN-OS 11.2: 11.2.4-h23 (fecha estimada: 30 de octubre), 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 y 11.2.16-h1.
- PAN-OS 11.1: 11.1.4-h38, 11.1.6-h40, 11.1.7-h12 (fecha estimada: 30 de octubre), 11.1.10-h36, 11.1.13-h16 y 11.1.16-h4.
- PAN-OS 10.2: 10.2.7-h39 (fecha estimada: 30 de octubre), 10.2.10-h42 (fecha estimada: 29 de octubre), 10.2.13-h27, 10.2.16-h12 y 10.2.18-h13.
La medida más efectiva es restringir el acceso a la interfaz de gestión solo a direcciones IP internas de confianza. Donde aún no hay parche, el fabricante recomienda enrutar el tráfico del puerto de gestión a través de un puerto de datos con perfil de gestión. También recomienda reemplazar el certificado usado para el tráfico de gestión entrante. Además, sugiere descifrar ese tráfico para que el firewall lo inspeccione y activar la prevención de amenazas sobre él. Los clientes con Frontier Virtual Patching (ATP Plus) en PAN-OS 12.2.4 o superior recibieron cobertura anticipada con el Threat ID 543004, publicado el 20 de octubre. Si un equipo estuvo expuesto, conviene buscar web shells y revisar actividad anómala en Active Directory.
Qué significa para tu empresa: La consola de administración de un firewall nunca debería estar abierta a internet, sin importar el fabricante. Esta semana verifique desde fuera de su red si alguna interfaz de gestión responde, restrinja el acceso a IP internas de confianza y aplique el hotfix de su rama. Si hubo exposición, asuma un posible compromiso: en este ataque, el siguiente paso fue Active Directory. Un monitoreo 24/7 desde un SOC permite detectar a tiempo la extracción de credenciales y la enumeración del directorio, señales que suelen pasar desapercibidas.
Fuente original: The Hacker News — ver artículo →