Cuando escribimos sobre php2shell, las fallas en PHP mismo, advertimos que la lista de lugares donde corre PHP es más larga de lo que cualquiera espera, y mencionamos entre ellos a los equipos de red. Una semana después, unos atacantes lo demostraron con el equipo en el que una empresa más confía: su firewall.
Qué pasó
El informe de Dream describe una operación metódica, no un golpe improvisado. Los atacantes empezaron con un buscador de equipos conectados a internet y encontraron unos 19,000 equipos de Palo Alto con su página de administración expuesta. Unos 5,000 respondieron a sus pruebas de versión. Los redujeron a 240 objetivos con versiones vulnerables en cuatro países.
El servidor web de administración de estos firewalls corre en PHP, específicamente PHP 8.0.30, una versión que ya no recibe actualizaciones de seguridad del proyecto PHP. Eso era lo que php2shell necesitaba. Los atacantes usaron un exploit a la medida, hecho para esa configuración exacta y no copiado de ninguno público, para ejecutar código en el firewall como un usuario de sistema con pocos privilegios.
Eso solo no bastaba: los propios controles de seguridad del firewall les impedían modificar archivos del sistema. Así que usaron una segunda falla, CVE-2026-46300 en el kernel de Linux, apodada Fragnesia, para reescribir las reglas de inicio de sesión del sistema y volverse root, con control total del equipo.
En 22 de los firewalls plantaron una pequeña puerta trasera web, de 103 bytes, y no hicieron nada más que Dream pudiera ver. En un firewall de la red vinculada al gobierno de Estados Unidos fueron más lejos: un túnel inverso configurado para reiniciarse solo después de un reinicio, un proxy para enrutar tráfico hacia la red interna e intentos de crear cuentas de puerta trasera en Active Directory. Dream dice que no se sabe si esas cuentas llegaron a crearse. Entre los datos que probablemente se llevaron de ahí hay una lista de usuarios y grupos de Active Directory, credenciales, llaves privadas y un mapa de la red.
Palo Alto dice que contactó de forma individual a los clientes afectados, aproximadamente el 0.02% de su base instalada con interfaces de administración expuestas a internet. Publicó versiones corregidas para cada versión con soporte de su software de firewall, PAN-OS, y para Panorama.
El equipo en el que más confías
Los firewalls, gateways VPN y equipos de acceso remoto están, por diseño, en el borde de la red. Tienen que ser accesibles, todo lo que está detrás confía en ellos, y rara vez corren las herramientas de seguridad que detectarían a un intruso en un servidor común. Eso los convierte en el punto de apoyo más valioso que puede conseguir un atacante, y es la razón por la que tantos incidentes graves de este año, en Ivanti, Cisco, Fortinet y ahora Palo Alto, empezaron en el borde.
La falla concreta aquí es más vieja que php2shell. La página de administración de un firewall es para quienes lo administran, y casi nunca hay razón para que sea accesible desde todo internet. La propia guía de Palo Alto lo dice desde hace años. Los 240 objetivos de esta campaña eran los equipos donde ese consejo no se había seguido.
También hay una lección sobre lo que significa "parchado". Cuando PHP publicó sus correcciones el 21 de octubre, nada cambió en estos firewalls. Los equipos traen sus propias copias de software como PHP, muchas veces en versiones viejas, y solo el fabricante del equipo puede actualizarlas. Que tu proveedor de hosting parche PHP no hace nada por el PHP que hay dentro de tu firewall, tu NAS o tu conmutador telefónico.
Qué hacer en concreto
Averigua si la página de administración de tu firewall está en internet. Pregúntale directamente a tu proveedor de TI, o pide que alguien lo pruebe desde fuera de tu red. Esto aplica a todas las marcas, no solo a Palo Alto. Si es accesible, restríngela a tu red interna, a una VPN o a un conjunto específico de direcciones de confianza.
Si tienes un firewall de Palo Alto o Panorama, actualízalo. Instala la versión corregida de PAN-OS que el aviso de Palo Alto indica para tu versión. Si tu versión ya no tiene soporte, actualiza a una que sí lo tenga.
Si la página de administración estuvo expuesta en octubre, busca señales de compromiso. Palo Alto publicó guías de detección, y Dream enumeró lo que dejaron los atacantes, incluido un archivo de puerta trasera en el directorio PHP de la interfaz web y servicios de sistema inesperados. Si encuentras algo, trata el firewall como comprometido: involucra al soporte de Palo Alto y cambia cada contraseña y llave que el firewall guardaba, incluidas las credenciales del directorio y de la VPN.
Hazte la misma pregunta con cada equipo. Los NAS, gateways VPN, impresoras, cámaras y conmutadores telefónicos tienen páginas de administración, y muchos corren PHP o software similar por dentro. Ninguno debería estar expuesto a internet, y cada uno debería tener a alguien responsable de sus actualizaciones.
El resumen
php2shell se anunció como una falla en sitios web. Su daño confirmado más grave hasta ahora fue en firewalls, porque la página de administración de un firewall también es un sitio web, que corre software que su dueño nunca ve y no puede parchar por sí solo.
La medida que habría evitado cada uno de estos 25 compromisos no cuesta nada: no pongas en internet la página de administración de un equipo de seguridad. Si no estás seguro de que la tuya no lo esté, averígualo esta semana.
Fuentes
- Impact of critical vulnerabilities in PHP on Palo Alto Networks products — Palo Alto Networks
- Threat brief: critical vulnerabilities in PHP — Unit 42, Palo Alto Networks
- Chained php2shell exploit roots 25 servers — Dream
- php2shell: successful exploitation reports emerge — The Record
- China-linked hackers exploit php2shell to root firewalls — SecurityWeek
- php2shell attack roots 25 servers — The Hacker News
- php2shell one week later: why one exploit doesn't work everywhere — Tenable
- Known Exploited Vulnerabilities Catalog — CISA
