Unit 42 confirma ataques PHP2Shell contra las interfaces expuestas de PAN-OS
Unit 42 confirma la explotación de dos fallos PHP contra interfaces de administración PAN-OS expuestas a Internet. La cadena observada añade una escalada del kernel Linux; Palo Alto detalla las ramas corregidas y la mitigación de exposición.
Unit 42 confirmó el 29 de octubre que atacantes están explotando PHP2Shell, dos fallos críticos de PHP, contra interfaces de administración de PAN-OS expuestas a Internet. La investigación describe una cadena que aprovecha esas vulnerabilidades y después una falla de escalada de privilegios del kernel Linux para obtener acceso de nivel raíz. El hallazgo cambia la noticia de «hay parches para PHP» a «hay una ruta observada hasta el cortafuegos cuando su plano de gestión queda publicado».
El alcance importa tanto como la gravedad: el objetivo observado son interfaces de administración accesibles desde Internet, no todos los firewalls Palo Alto ni todas las aplicaciones PHP. Palo Alto dice que esa interfaz no está expuesta por defecto y recomienda limitarla a direcciones internas de confianza; una instalación con esa separación intacta no coincide con el escenario descrito por Unit 42. La compañía no publica un recuento de víctimas ni una medida global de explotación.
-SecureCrew dice: la consola de un firewall puede hablar con Internet, pero eso no la convierte en una buena página de inicio.-
Dos fallos en PHP y una cadena observada
PHP2Shell agrupa CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades de ejecución remota de código (RCE) divulgadas el 21 de octubre. En la primera, una ruta de error por falta de memoria usa longjmp() y deja sin inicializar parte de la memoria de la petición; con ciertas condiciones, el fallo puede terminar en ejecución de código. La segunda deja un puntero global apuntando a memoria ya liberada, que puede reutilizarse en solicitudes posteriores. No hace falta convertir esos detalles en una receta de explotación para entender el riesgo: el componente vulnerable procesa peticiones y la cadena reportada busca llegar al sistema que administra el firewall.
La parte posterior de la cadena también está acotada. Dream Research publicó el encadenamiento con una vulnerabilidad del kernel Linux, y Unit 42 afirma que verificó por su cuenta las herramientas y los resultados que describía esa investigación. Eso respalda la explotación observada contra PAN-OS; no prueba que cada atacante use el mismo método, que todas las instalaciones vulnerables hayan sido comprometidas o que exista una campaña uniforme contra cualquier servidor PHP.
-SecureCrew dice: que una prueba de cadena funcione en el laboratorio no autoriza a cambiar «observado en estos equipos» por «pasa en todos».-
Palo Alto asigna CVSS 4.0 9,2 a la vulnerabilidad en su aviso, pero la puntuación y la evidencia de explotación responden preguntas distintas. CVSS resume severidad bajo un modelo; la confirmación de ataques procede de la telemetría e investigación de Unit 42. La exposición de la interfaz de gestión es el factor operativo que eleva el riesgo para los equipos de la compañía.
Qué revisar en los equipos
El aviso cubre PAN-OS en dispositivos PA-Series y VM-Series, además de Panorama virtual y de hardware. Palo Alto publicó correcciones por rama: entre ellas, 12.2.4-h1, 12.1.10-h3, 11.2.16-h1, 11.1.16-h4 y 10.2.18-h13; las ramas tienen rutas alternativas según la versión de partida, así que hay que consultar la tabla completa del aviso antes de elegir un destino. Los equipos antiguos o fuera de soporte deben actualizar a una versión soportada corregida, según indica el fabricante.
La prioridad práctica es comprobar si la interfaz de administración se puede alcanzar desde direcciones públicas y retirar ese acceso, restringiéndolo a una red interna o a un equipo de salto autorizado. Después hay que aplicar la versión de PAN-OS corregida que corresponda al modelo y a la rama instalada. Palo Alto afirma que sus correcciones disponibles interrumpen la cadena observada; cerrar la exposición sin parchear reduce la oportunidad de entrada, pero no sustituye la actualización.
-SecureCrew dice: cerrar la puerta ahora es urgente; revisar si alguien ya pasó por ella sigue siendo otra tarea.-
Si el equipo estuvo expuesto o hay indicios de actividad anómala, la actualización no demuestra por sí sola que no hubiera compromiso previo. Conviene conservar la telemetría disponible y evaluar el sistema con el proceso de respuesta de la organización, sin convertir una explotación reportada en una afirmación de intrusión contra una instalación concreta. El aviso de Palo Alto mantiene la guía por versiones y las mitigaciones; Unit 42 actualiza su investigación si aparecen nuevos datos.
Diccionario de la Crew
PAN-OS — Sistema operativo de los firewalls de Palo Alto Networks; Panorama administra despliegues PAN-OS.
PHP2Shell — Nombre usado para CVE-2026-109618 y CVE-2026-109619 en PHP.
RCE — Ejecución remota de código: capacidad de hacer que un sistema ejecute instrucciones enviadas a distancia.
longjmp() — Función de C que altera el flujo de ejecución y aparece en el manejo de errores descrito para CVE-2026-109618.
