Los servidores y aplicaciones web están experimentando una amplia ola de ataques intensos dirigidos contra las graves vulnerabilidades de PHP2Shell, en medio de confirmaciones por parte de las empresas de ciberseguridad de que el porcentaje de brechas exitosas sigue siendo extremadamente limitado a pesar del enorme volumen de intentos.
En esta campaña destacaron los cortafuegos de Palo Alto Networks, donde un grupo de piratería informática vinculado a China logró vulnerar varios de ellos combinando la explotación de las vulnerabilidades de PHP2Shell con la conocida vulnerabilidad de escalada de privilegios en el núcleo de Linux denominada Fragnesia, para desplegar programas maliciosos con privilegios de superusuario (root).
Detalles sobre el ataque a los dispositivos de Palo Alto
Palo Alto Networks confirmó los resultados revelados por entidades de seguridad, explicando que los atacantes utilizaron herramientas de inteligencia artificial para aprovechar los códigos de vulnerabilidad (CVE-2026-109618) y (CVE-2026-109619) en los dispositivos PAN-OS vinculados a interfaces de gestión expuestas a Internet. La empresa ha emitido actualizaciones de software urgentes para solucionar el fallo en las versiones afectadas de la serie de cortafuegos PA-Series, VM-Series y los sistemas Panorama.
La compañía aclaró que la interfaz de gestión predeterminada no está expuesta a Internet por naturaleza, indicando que un porcentaje muy pequeño, estimado en alrededor del 0,02 % de su base de clientes global, se vio afectado por estas interfaces expuestas, y se contactó directamente a los clientes implicados para aplicar las correcciones necesarias.
Amplio impacto en los servidores PHP y fracaso ante WordPress
Los datos de telemetría de la empresa mostraron que más de 22,6 millones de instalaciones de PHP están expuestas a un riesgo potencial debido a las vulnerabilidades de PHP2Shell, dado el uso generalizado del lenguaje en sistemas de gestión de contenidos como WordPress, Drupal y Joomla.
A pesar de registrarse miles de solicitudes de escaneo y ataques dirigidos a plataformas como WordPress, la empresa de ciberseguridad Defiant confirmó que hasta la fecha no se ha registrado ningún caso de intrusión exitosa en sitios de WordPress, atribuyéndolo a la necesidad constante de modificar los exploits para adaptarlos a los entornos de los servidores objetivo, la configuración de la memoria y las versiones de PHP.
¿Qué deben tener en cuenta los administradores de sistemas?
Esta campaña confirma que los ciberataques actuales dependen cada vez más de la combinación de múltiples vulnerabilidades (chaining) para obtener privilegios completos en infraestructuras sensibles. Si bien la mayoría de los intentos de explotación documentados por empresas como Cato Networks se centraron en la ejecución remota de código (RCE) y afectaron a diversos sectores como la salud y la tecnología, el bajo número de intrusiones exitosas subraya la importancia de la actualización inmediata y de restringir el acceso directo a las interfaces de gestión a través de Internet.