Investigadores de la firma de ciberseguridad Dream atribuyen a hackers presuntamente vinculados con China una campaña que comprometió 25 servidores y firewalls de Palo Alto Networks, algunos asociados a organizaciones del Gobierno de Estados Unidos. Los ataques comenzaron el 23 de octubre de 2026 y combinaron la vulnerabilidad PHP2Shell con una falla de Linux para obtener acceso de administrador, lo que eleva el riesgo para equipos expuestos y sin actualizar.
Cómo encadenaron PHP2Shell con una falla de Linux
PHP2Shell es el nombre que se dio a dos vulnerabilidades críticas de PHP divulgadas durante octubre. Según el reporte, los atacantes aprovecharon estos fallos para entrar en dispositivos Palo Alto Networks que ejecutaban una versión antigua y vulnerable de PAN-OS. El acceso inicial podía partir de una solicitud HTTPS sin autenticación enviada a una interfaz de administración expuesta a internet.
Una vez dentro, los intrusos habrían combinado PHP2Shell con Fragnesia, la vulnerabilidad de escalada de privilegios identificada como CVE-2026-46300. Esta falla permite que un usuario sin privilegios obtenga acceso root en Linux. La combinación convirtió una intrusión inicial en control de alto nivel sobre los dispositivos afectados.
Dream afirma que los atacantes ejecutaron alrededor de 40 scripts personalizados posteriores a la explotación. Según los investigadores, la cadena completa —desde la conexión inicial hasta la instalación de una webshell persistente con permisos de root— podía completarse en menos de 15 minutos.
El ataque alcanzó redes internas y Active Directory
La intrusión no se habría limitado al firewall. Dream describe cómo, en cuestión de horas, los atacantes usaron un dispositivo comprometido para acceder a la red interna, vulnerar un tercer servidor mediante PHP2Shell e iniciar una campaña contra Active Directory. Ese sistema suele centralizar la gestión de usuarios y permisos en redes empresariales, por lo que su compromiso puede ampliar el alcance de un ataque.
La actividad comenzó con sondeos a organizaciones de Estados Unidos, Japón, Taiwán y Corea del Sur, antes de concentrarse en dispositivos Palo Alto Networks con versiones vulnerables de PAN-OS. Los investigadores sostienen que los atacantes podrían conservar acceso a algunos sistemas, aunque los datos recopilados no permitieron determinar su objetivo final. Entre los riesgos posibles están el robo de credenciales, la instalación de puertas traseras y la extracción de información sensible.
Los investigadores descartan una operación totalmente automatizada
Dream encontró indicios del uso de herramientas de inteligencia artificial, pero no considera que la campaña estuviera completamente automatizada. En los sistemas analizados aparecieron Claude Code y la plataforma de seguridad ofensiva AIscan, configurada con los modelos chinos DeepSeek y Kimi. También se hallaron claves de API de FOFA, un buscador de dispositivos conectados a internet.
Según Dream, FOFA habría servido para identificar cerca de 19.000 firewalls de Palo Alto Networks accesibles desde internet. Esa cifra describe posibles objetivos localizados, no dispositivos confirmados como comprometidos. La diferencia es importante: el reporte contabiliza 25 servidores vulnerados, mientras que los equipos identificados representan una superficie potencial de ataque.
Qué deben revisar las organizaciones
El caso muestra por qué no basta con corregir una sola vulnerabilidad: los atacantes pueden encadenar fallos de aplicaciones y del sistema operativo para aumentar privilegios. Las organizaciones deberían actualizar PHP y PAN-OS según las indicaciones de sus fabricantes, revisar si las interfaces de administración están expuestas públicamente y comprobar sus registros en busca de accesos anómalos y actividad posterior a la intrusión.
La exposición de una interfaz de gestión a internet es especialmente relevante: Dream señala que la cadena comenzó con una petición HTTPS sin autenticación dirigida a una interfaz que no debería haber estado accesible públicamente. Además de aplicar parches, conviene restringir la administración a redes confiables y revisar posibles indicios de persistencia, credenciales comprometidas o movimientos hacia Active Directory.
En resumen
- Dream atribuye la campaña a actores presuntamente vinculados con China.
- Los investigadores reportan 25 servidores comprometidos, algunos asociados al Gobierno de Estados Unidos.
- Los atacantes combinaron PHP2Shell con la falla de escalada de privilegios Fragnesia, CVE-2026-46300.
- La intrusión habría permitido obtener root, acceder a redes internas e iniciar ataques contra Active Directory.
- FOFA habría ayudado a localizar cerca de 19.000 firewalls potencialmente expuestos; no significa que todos fueran vulnerados.
