PHP2Shell en PAN-OS: correcciones para cinco ramas y Panorama

Palo Alto Networks ha publicado las correcciones para las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619) en sus firewalls y en Panorama, y ha precisado que la explotación observada afecta a las interfaces de gestión expuestas a Internet. Lo informa SecurityWeek, que también hace balance de la oleada de ataques contra PHP: muchísimos intentos y muy pocos éxitos confirmados. El CERT-IS de Islandia ha pedido actualizar cuanto antes y limitar el acceso a la interfaz de gestión.

La cadena con Fragnesia que llevó a obtener root en firewalls PAN-OS 12.1 y 12.2 está en nuestro artículo del 28 de octubre; las CVE, las versiones corregidas de PHP y la inclusión en el catálogo KEV están en los artículos anteriores. A continuación, las novedades.

El aviso de Palo Alto Networks

Según SecurityWeek, las correcciones cubren:

• PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 para los firewalls PA-Series y VM-Series;
• Panorama, tanto virtual como M-Series.

Las fuentes no indican los números de cada versión corregida: consúltalos en el aviso del fabricante, publicado con el identificador CVE-2026-109618 (figura entre las referencias del CERT-IS).

En el aviso, citado por SecurityWeek, Palo Alto Networks escribe que no hace falta ninguna configuración especial para verse afectado y que se ha observado explotación activa contra la interfaz de gestión expuesta a Internet. Por defecto, la interfaz no está expuesta. El fabricante calcula que solo una parte mínima de su base instalada, alrededor del 0,02%, tiene la interfaz de gestión accesible desde Internet y se ha visto afectada, y afirma haber contactado uno por uno con esos clientes.

El CERT-IS añade que la vulnerabilidad solo puede explotarla quien llega a la interfaz de gestión del dispositivo. Pide restringir su acceso todo lo posible y actualizar en cuanto se pueda; quien no pueda hacerlo debe seguir las indicaciones del fabricante incluidas en el aviso.

En la práctica, el riesgo cambia mucho de un firewall a otro: una interfaz de gestión accesible solo desde una red dedicada está al alcance únicamente de quien ya está dentro de la red, mientras que una expuesta a Internet es el objetivo de los compromisos documentados hasta ahora.

La explotación masiva: muchos intentos, pocos éxitos

También según SecurityWeek, a 29 de octubre la telemetría de Palo Alto Networks contaba más de 22,6 millones de instancias PHP expuestas y potencialmente vulnerables. Para los demás objetivos, los datos recogidos por el medio indican que la explotación con éxito sigue siendo rara:

• WordPress: Defiant, empresa de seguridad web, a 28 de octubre no conocía ningún sitio comprometido mediante PHP2Shell, frente a más de 77.000 peticiones desde más de 2.000 direcciones IP. En sus pruebas, los exploits deben adaptarse a cada servidor: influyen el ASLR, la compilación de PHP, las extensiones cargadas, los límites de memoria y la gestión de las peticiones. Defiant advierte de que los atacantes siguen perfeccionando sus herramientas.
• Cato Networks: alrededor del 96% de los ataques bloqueados apuntaba a CVE-2026-109618 y el 41% intentaba la ejecución de código; el resto eran escaneos o PoC no válidas. Las peticiones procedían de unas pocas direcciones IP en Estados Unidos, Países Bajos y Alemania: sobre todo intentos de ejecución de comandos y, en segundo lugar, de deserialización. El sector más atacado es la sanidad, seguida de tecnología y servicios de seguridad, servicios profesionales, automoción, educación y organizaciones sin ánimo de lucro, industria manufacturera, construcción y comercio. Según Cato, los ataques eran oportunistas: la misma fuente golpeaba sectores distintos el mismo día.
• watchTowr: ha observado explotaciones con éxito desde una sola dirección IP en Alemania, que cada vez ejecuta un simple comando curl para demostrar la ejecución y se detiene ahí, sin más actividad. Jake Knott, responsable de threat intelligence, prevé exploits más fiables y específicos para cada dispositivo y, por tanto, más casos de explotación dirigida contra los equipos perimetrales.

Las fuentes no publican las direcciones IP: no hay indicadores de compromiso utilizables.

Técnicas MITRE ATT&CK: T1190 (Exploit Public-Facing Application) y, para la parte de reconocimiento, T1595 (Active Scanning).

Impacto para las empresas europeas e italianas

Dos elementos afectan de cerca a Europa. Parte del tráfico de ataque visto por Cato y el único explotador con éxito observado por watchTowr usan direcciones en Alemania y Países Bajos, que sin embargo no dicen nada sobre la identidad de los atacantes. Y la sanidad es el sector más atacado.

Para hospitales y centros sanitarios, y para todas las entidades sujetas a NIS2, una interfaz de gestión del firewall accesible desde Internet es una exposición que hay que cerrar y documentar; si un dispositivo resulta comprometido, el incidente debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia). Que Palo Alto Networks haya contactado directamente con los clientes afectados no sustituye una comprobación propia. Lo mismo vale para los equipos de terceros basados en PAN-OS, como el Siemens RUGGEDCOM APE1808 citado el 21 de octubre.

Qué hacer ya

1. Interfaz de gestión: comprueba desde fuera que la de tus firewalls y la de Panorama no sean accesibles desde Internet; permítela solo desde una red de gestión o desde direcciones internas de confianza, y revisa también los perfiles de gestión asignados a las interfaces de datos.
2. Actualiza PAN-OS y Panorama a la versión corregida de tu rama indicada en el aviso de Palo Alto Networks; si no puedes hacerlo de inmediato, aplica las medidas alternativas del aviso, como pide el CERT-IS.
3. Si la interfaz estaba expuesta, trata el dispositivo como pendiente de revisión: adquiere la memoria antes de reiniciar, busca archivos PHP nuevos en las carpetas web, túneles SSH salientes y accesos anómalos al servidor de gestión, como describimos en nuestro artículo del 28 de octubre.
4. Servidores PHP: actualiza también donde no consten ataques con éxito, como recomienda Defiant para WordPress: los exploits se adaptan continuamente.
5. Detección: busca procesos de PHP o del servidor web que lancen curl hacia direcciones externas (el patrón visto por watchTowr), ráfagas de POST multipart y caídas de los workers de PHP.
6. Sanidad: da prioridad a los sistemas expuestos de hospitales, laboratorios y proveedores de servicios sanitarios, el sector más atacado según Cato.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios públicos de tu empresa exponen productos reconocidos y ARX Scout verifica en primera persona qué puertos y servicios están realmente abiertos: juntos ayudan a descubrir una interfaz de gestión accesible desde Internet. ARX Sentry recoge los registros de los firewalls, con páginas dedicadas al estado del firmware, y ARX Radar reconoce en el tráfico entrante los escaneos y las fuentes que atacan a varias empresas. ARX Shield muestra las vulnerabilidades abiertas de cada máquina, destacando las que ya se están explotando.

Última actualización: 1 de noviembre de 2026