PHP2Shell y Fragnesia: root en firewalls PAN-OS en 15 minutos

📌 Novedades posteriores: PHP2Shell en PAN-OS: correcciones para cinco ramas y Panorama (29 de octubre de 2026)

Las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619), combinadas con Fragnesia (CVE-2026-46300), un fallo del kernel Linux de escalada de privilegios, se usaron para obtener root en 25 sistemas expuestos a Internet, en su mayoría firewalls, en Estados Unidos, Japón, Taiwán y Corea del Sur. Lo documenta la empresa de seguridad Dream, que vincula la operación con China. El 28 de octubre de 2026 la CISA añadió Fragnesia al catálogo KEV, precisando que puede encadenarse con las dos CVE de PHP «para implantar web shells PHP y ejecutar comandos como root».

Las CVE de PHP, las versiones corregidas y las primeras shells en honeypots están en nuestros artículos anteriores; la CVE-2026-46300, en el del 28 de octubre. A continuación, las novedades.

Qué reconstruyó Dream

Según The Record, The Register y SecurityWeek, Dream recuperó una implementación no pública de PHP2Shell escrita para la plataforma del firewall, perfiles por versión, listas de objetivos, registros de explotación y unos 40 scripts para las fases posteriores.

• Con el buscador chino FOFA los atacantes identificaron unos 19.000 firewalls expuestos, filtrados después por país y por perfil del exploit hasta 240 objetivos.
• Los ataques, automatizados, se produjeron sobre todo el 23 y el 24 de octubre.
• Las cifras difieren: SecurityWeek habla de 25 firewalls vulnerados y de una web shell de root en 24; The Record, de 24 firewalls comprometidos. En 22 los atacantes solo dejaron la web shell.

Dream no nombró al fabricante. Según The Register se trata de PAN-OS, y Unit 42 de Palo Alto Networks verificó las herramientas y confirmó los resultados. Help Net Security informa de que el 29 de octubre Palo Alto Networks actualizó su aviso sobre PHP2Shell: se ha observado explotación activa contra la interfaz de gestión expuesta a Internet.

La cadena técnica

Según The Register, los objetivos eran PAN-OS 12.1 y 12.2, que usan PHP 8.0.30 con un límite de memoria alto, condición que hace posible la corrupción de memoria. Los pasos:

1. una ráfaga de peticiones POST multipart manipuladas corrompe la memoria y hace previsible su disposición;
2. una segunda petición falsifica la longitud de un ID de sesión obsoleto y, con una lectura fuera de límites, revela la dirección base de libphp.so;
3. un nuevo agotamiento de la memoria fuerza mod_data=NULL y deja una referencia obsoleta;
4. esa referencia, falsificada, ejecuta comandos como el usuario nobody.

Después Fragnesia, un error lógico del subsistema XFRM ESP-in-TCP, de la clase Dirty Frag, con PoC público para los kernels de las principales distribuciones publicados antes del 13 de mayo de 2026 (BleepingComputer), da root y permite colocar una web shell en una carpeta pública del firewall; los registros muestran la comprobación con id (The Record). Desde la conexión HTTPS sin credenciales hasta la web shell persistente pasan menos de 15 minutos. El exploit no deriva de los públicos: se desarrolló de forma independiente.

Aaron Beardslee, de Securonix, citado por CSO Online, señala que Fragnesia escribe en la page cache y no en el disco: los controles de integridad de archivos no lo ven y un reinicio borra las huellas.

Más allá del firewall: red interna y Active Directory

Dos firewalls pertenecían a un entorno vinculado al Gobierno de Estados Unidos. El primero, vulnerado el 23 de octubre, se bloqueó poco después y no volvió a estar accesible; el segundo fue vulnerado el 24. Desde ahí, según Dream:

• un túnel SSH inverso abrió la red interna, donde la misma cadena comprometió el servidor de gestión de los firewalls, con las configuraciones y credenciales de todos los equipos gestionados;
• con la clave maestra los atacantes descifraron la contraseña de la cuenta de servicio LDAP;
• enumeraron usuarios y grupos del dominio, hicieron password spraying, intentaron crear cuentas de puerta trasera en Active Directory y extraer la clave de firma SAML.

No se conoce el resultado de estos intentos, porque quedó en el servidor de gestión. Dream cree que el túnel probablemente sigue activo. Las fuentes no publican indicadores de compromiso.

Atribución y herramientas de IA

Dream no señala un grupo concreto: habla de una operación vinculada a China por el idioma, las herramientas, los modelos de IA y los países elegidos. Se encontraron Claude Code, una plataforma ofensiva con IA configurada con DeepSeek y Kimi y claves API de FOFA, pero no fue un ataque totalmente autónomo. Beardslee califica la atribución de «abiertamente discutida». Kevin Beaumont, citado solo por Help Net Security, dice tener constancia también de un grupo de ransomware que usa PHP2Shell contra firewalls de Palo Alto.

Técnicas MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1068 (Exploitation for Privilege Escalation), T1505.003 (Web Shell), T1572 (Protocol Tunneling), T1110.003 (Password Spraying), T1136.002 (Create Account: Domain Account).

Impacto para las empresas europeas e italianas

Las víctimas conocidas están fuera de Europa, pero según Dream los atacantes conservan la lista de los 19.000 firewalls y pueden volver con perfiles para otras versiones de PAN-OS. El PHP dentro de un equipo, aquí una rama 8.0 sin soporte oficial, solo se corrige con la actualización del fabricante: vale también para otros equipos con PAN-OS, como el Siemens RUGGEDCOM APE1808 citado el 21 de octubre. Para las entidades NIS2 y para la sanidad, firewalls y servidores de gestión son sistemas críticos, y un compromiso debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia). Según Cybersecurity360, el CERT-AGID contaba el 26 de octubre 467 direcciones de la administración pública italiana con versiones de PHP declaradas potencialmente vulnerables.

Qué hacer ya

1. Interfaz de gestión: sácala de Internet y sigue el aviso de Palo Alto Networks sobre PHP2Shell para las actualizaciones de PAN-OS.
2. Kernel: actualiza por CVE-2026-46300 y reinicia; según Beardslee la corrección no está en los parches de Dirty Frag. Donde ningún servicio termine IPsec, valora descargar esp4 y esp6, sabiendo que puede interrumpir las VPN.
3. PHP: actualiza a 8.2.35, 8.3.36, 8.4.27 u 8.5.12, o a las builds de los proveedores, y reinicia los workers.
4. Primero la memoria: en un sistema sospechoso, adquiérela antes de reiniciar.
5. Busca huellas: archivos PHP nuevos en carpetas web, ráfagas de POST multipart hacia la interfaz de gestión, caídas de los firewalls, túneles SSH salientes, cuentas de dominio nuevas.
6. Identidad: alerta sobre los bind LDAP desde hosts que no deberían tener credenciales de directorio (Beardslee) y cambia la contraseña de la cuenta de servicio LDAP y las credenciales gestionadas por los firewalls comprometidos.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios públicos de tu empresa exponen productos reconocidos. ARX Sentry recoge los registros de los firewalls, con páginas dedicadas al estado del firmware; en los servidores Linux con el agente lista sistema, software y procesos, y sus páginas de identidades muestran ráfagas de intentos de acceso y cambios en las cuentas. ARX Shield muestra las vulnerabilidades abiertas por máquina, destacando las ya explotadas.

Última actualización: 30 de octubre de 2026