Por Canuto  

CISA incorporó las dos fallas PHP2Shell a su catálogo de vulnerabilidades explotadas y dio a las agencias civiles federales hasta el 29 de octubre para corregirlas. La evidencia pública incluye comandos detectados en honeypots y una campaña de 25 servidores que investigadores atribuyen, con cautela, a una operación de posible origen chino.
***

  • CISA incluyó CVE-2026-109618 y CVE-2026-109619 en su catálogo de vulnerabilidades explotadas, aunque sus nuevas entradas no identifican víctimas ni detallan las pruebas.
  • Los honeypots de Perplexity registraron 35 comandos de shell; los datos corresponden a una de las dos fallas y no muestran descargas de malware.
  • Un panel de la Universidad Tecnológica de Delft contabilizó 68.499 solicitudes de explotación desde 652 direcciones IP en 73 países.

 

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incorporó las dos vulnerabilidades PHP2Shell a su catálogo de fallas explotadas, una señal de que considera que los atacantes ya las están usando. La agencia hizo el cambio el lunes y estableció que las agencias civiles federales corrijan CVE-2026-109618 y CVE-2026-109619 antes del jueves 29 de octubre. La decisión actualizó una advertencia de la semana anterior, cuando CISA indicó que todavía no había observado explotación.

La inclusión en el catálogo no revela, por sí sola, qué organizaciones pudieron resultar afectadas ni qué pruebas específicas respaldaron la decisión. Las nuevas entradas tampoco nombran víctimas, y para el jueves las autoridades de varios países seguían sin reportar intrusiones confirmadas. La cobertura de The Next Web recoge el cambio, pero la falta de detalles oficiales deja abierta la diferencia entre actividad de explotación observada y una intrusión comprobada en una entidad concreta.

Qué muestran los registros de los honeypots

La evidencia técnica pública más detallada hasta ahora proviene de Adel Karimi, responsable de detección y respuesta en Perplexity, quien publicó un informe con registros de sus honeypots. Estos sistemas señuelo se exponen deliberadamente para atraer actividad maliciosa y observar los comandos que intentan ejecutar los atacantes. El sábado 24 de octubre, los sensores registraron 35 comandos de shell iniciados por el servidor web Apache.

Los tres objetivos observados ejecutaban PHP 8.4.26 mediante mod_php de Apache, una configuración que el equipo de PHP considera especialmente relevante para el riesgo de estas fallas. CISA advirtió que las vulnerabilidades afectan a las instalaciones de PHP que procesan solicitudes web, incluidas las que usan mod_php con Apache. Los comandos se originaron en dos direcciones IP, pero Karimi advirtió que ese dato no permite concluir que fueran dos actores distintos. Después de obtener acceso al shell, los atacantes intentaron comunicarse con servidores externos usando PHP, curl y wget.

El informe no documenta la descarga de malware y vincula la actividad con CVE-2026-109618, sin mostrar el uso de la segunda vulnerabilidad. Karimi describió el caso como una confirmación de ejecución remota de código con divulgación de memoria utilizable, pero también señaló una limitación importante: sus honeypots tenían una configuración de un solo worker que favorecía el ataque. Por ello, los resultados no permiten medir qué tan fiable sería el exploit en otros servidores.

Marcus Hutchins, investigador de amenazas en Expel, respaldó la relevancia de estos registros y los describió como la confirmación de mayor calidad que había visto hasta entonces sobre explotación práctica de PHP2Shell. Su valoración se refiere a la solidez de la evidencia observada, no a la identidad de los responsables ni a una campaña más amplia. La distinción importa porque los comandos detectados prueban actividad contra los señuelos, pero no confirman por sí mismos que una víctima real haya sufrido una intrusión.

La campaña de 25 servidores y las cautelas de atribución

La firma israelí de seguridad Dream publicó el lunes un relato separado sobre una presunta campaña que habría comprometido con privilegios de root 25 servidores. La empresa fue cofundada por Shalev Hulio, creador de Pegasus, y afirmó que entre los sistemas afectados había equipos en un entorno vinculado al gobierno de Estados Unidos. Según su investigación, los atacantes tomaron 24 firewalls y un servidor interno de gestión.

Dream sostuvo que la operación combinó PHP2Shell con Fragnesia, identificada como CVE-2026-46300, una vulnerabilidad del kernel de Linux capaz de elevar los privilegios de un atacante hasta root. La firma indicó que los intrusos descifraron la contraseña de una cuenta de servicio LDAP y enumeraron los usuarios y grupos del dominio. No pudo determinar si otras acciones posteriores, como crear una cuenta de puerta trasera, llegaron a completarse.

Los investigadores también encontraron Claude Code instalado y una plataforma de ataque configurada con los modelos chinos DeepSeek y Kimi. Dream dijo que no tenía evidencia directa de que esas herramientas hubieran escrito el exploit y que la operación no parecía corresponder a un ataque de Estado-nación totalmente autónomo. La presencia de esos sistemas, por tanto, no demuestra que la inteligencia artificial haya desarrollado o ejecutado por sí sola la intrusión.

La firma afirmó que no atribuye la actividad a un actor de amenazas concreto, aunque varios indicadores apuntarían a una operación de origen chino. Esa formulación es una evaluación de Dream, no una atribución confirmada de manera independiente; The Next Web indicó que no verificó por su cuenta los hallazgos. La cautela resulta especialmente pertinente porque la misma investigación reconoce que no pudo confirmar si algunas etapas posteriores del ataque tuvieron éxito.

El alcance de los intentos y la respuesta pendiente

El Threat Intelligence Lab de la Universidad Tecnológica de Delft mantiene un panel público para seguir la actividad relacionada con PHP2Shell. Hasta la tarde del martes, había registrado 68.499 solicitudes de explotación desde 652 direcciones IP ubicadas en 73 países, desde el 21 de octubre. De esas direcciones, 174 enviaron código o un dropper, un programa pequeño que descarga malware.

Esas cifras reflejan solicitudes detectadas y direcciones que enviaron contenido, pero no equivalen a 68.499 intrusiones exitosas ni permiten asumir que cada dirección corresponda a un atacante diferente. El registro ofrece una medida de la amplitud de los intentos, mientras la evidencia de Karimi describe comandos observados en señuelos y el reporte de Dream plantea un caso de compromiso que no ha sido verificado independientemente. Son niveles de evidencia distintos y conviene no confundirlos.

Algunas afirmaciones anteriores sobre ataques exitosos fueron corregidas o retiradas. Sophos rectificó un reporte sobre supuestos ataques exitosos contra sus clientes: su telemetría mostraba escaneos y unos pocos intentos fallidos. Unit 42, la unidad de Palo Alto Networks, también retiró su evaluación de que atacantes habían usado PHP2Shell contra una agencia gubernamental europea, un ajuste que refuerza la necesidad de distinguir escaneo, intento y compromiso confirmado.

El equipo de PHP corrigió ambas vulnerabilidades el 21 de octubre mediante las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las herramientas de inteligencia artificial habían encontrado primero los dos fallos, y el equipo de PHP indicó que el riesgo es mayor con mod_php y que no existen mitigaciones completas. El lunes también publicó compilaciones para Windows con una corrección para la vulnerabilidad Brotli. CISA insta a las organizaciones a aplicar cuanto antes los parches para CVE-2026-109618 y CVE-2026-109619.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados