La IA agéntica acelera la explotación de PHP2Shell en ataques globales

Los actores de amenazas están aprovechando plataformas de inteligencia artificial agéntica para acelerar las actividades posteriores a la explotación tras el abuso de vulnerabilidades críticas de PHP conocidas como PHP2Shell. A finales de octubre de 2026, los investigadores de seguridad observaron estos ataques asistidos por IA dirigidos contra una entidad gubernamental europea, lo que marca un cambio significativo en la rapidez con la que los adversarios pueden pasar del acceso inicial a la escalada de privilegios.

Qué ocurrió

Palo Alto Networks Unit 42 informó que los atacantes explotaron CVE-2026-109618 y CVE-2026-109619 para obtener acceso inicial a un sistema gubernamental en Europa. En tan solo dos horas desde la infracción inicial, los atacantes habían accedido a hashes de contraseñas y secretos de autenticación multifactor. Además, establecieron un túnel de retransmisión NT LAN Manager hacia Active Directory e intentaron escalar sus privilegios al nivel de Domain Admin. La velocidad y precisión de estas acciones sugirieron la participación de herramientas automatizadas de IA agéntica, en lugar de una operación manual humana exclusiva.

Simultáneamente, CYFIRMA identificó una campaña separada vinculada al ecosistema del Grupo Lazarus, probablemente originaria de Corea del Norte. Este grupo utilizó las mismas vulnerabilidades PHP2Shell para sondear la infraestructura global de PHP desde 21 nodos comprometidos. El escaneo fue deliberadamente de bajo volumen y calibrado para evadir sistemas de alerta basados en umbrales. Los objetivos incluían 216 hosts sin parchear en varios países, abarcando sectores gubernamentales, financieros y logísticos. Los operadores coordinaban sus acciones a través de un canal cerrado de I2P, utilizando identificaciones asociadas con operaciones encubiertas anteriores.

Cómo funciona

Las vulnerabilidades PHP2Shell permiten la ejecución remota de código en configuraciones predeterminadas de PHP mediante la explotación de fallos en la asignación de memoria. Cuando PHP analiza el nombre de un campo de formulario, crea varias copias en la memoria. Un atacante diseña una solicitud con un nombre de campo dimensionado para caber dentro del cuerpo aceptado, pero lo suficientemente grande como para exceder el límite de memoria durante la copia. Esto fuerza un fallo de asignación mientras PHP intenta copiar el nombre en una tabla hash, lo que potencialmente conduce a la corrupción del heap y a la ejecución de código. También es necesario vencer la Aleatorización de la Disposición del Espacio de Direcciones (ASLR) para encontrar direcciones de memoria válidas para que el exploit tenga éxito.

En los ataques asistidos por IA, la fase posterior a la explotación se caracterizó por indicadores conductuales específicos. Los atacantes emitían comandos envueltos en delimitadores de encabezado de sección como ==SHELLUSER== y ==PASSWD==. Estos delimitadores crean una salida legible por máquina, permitiendo que un modelo de IA lea los resultados y decida los siguientes pasos. El agente de IA realizó reconocimiento sobre bases de datos de autenticación, consultó Active Directory a través de LDAP y buscó hosts internos y grupos privilegiados, automatizando los pasos manuales tradicionales de una intrusión.

Detalles clave

• CVE-2026-109618 y CVE-2026-109619 son fallos críticos de ejecución remota de código en configuraciones predeterminadas de PHP.
• Se utilizaron herramientas de IA agéntica para analizar la salida de comandos y automatizar el reconocimiento posterior a la explotación en menos de dos horas.
• Una campaña sospechosa de Corea del Norte utilizó escaneos de bajo volumen desde 21 nodos para atacar 216 hosts sin parchear a nivel mundial.
• Los operadores vinculados a Lazarus coordinaron sus acciones a través de I2P y utilizaron vocabulario específico del coreano Munhwaŏ.
• Bitsight estima que casi 37 millones de sistemas expuestos a Internet ejecutan PHP, con una gran exposición en EE. UU. y Europa.
• Una tercera vulnerabilidad, CVE-2026-115560, afecta a aplicaciones que cambian los manejadores de serialización de sesión en tiempo de ejecución.

Por qué importa

Para ingenieros de software y líderes de TI, este incidente destaca la doble amenaza de las vulnerabilidades críticas en tiempo de ejecución y las cadenas de ataque aceleradas por IA. Las fallas de PHP2Shell no pueden corregirse mediante cambios en el código de la aplicación o reglas de firewall de aplicaciones web; requieren actualizar el entorno de ejecución de PHP en el propio host. Con millones de sistemas expuestos, la ventana para aplicar parches es estrecha y las consecuencias de la demora son graves, como demostró la rápida compromisión de la entidad gubernamental.

El uso de IA agéntica cambia el cálculo defensivo. Los métodos de detección tradicionales que dependen de identificar comportamientos manuales de hackers pueden fallar frente a agentes de IA que generan salidas estructuradas y legibles por máquina y toman decisiones autónomas. Los equipos de seguridad deben considerar ahora cómo detectar no solo firmas de exploits conocidos, sino también los patrones conductuales de agentes automatizados, como el uso de delimitadores específicos y comandos de reconocimiento secuenciales y rápidos. Esto desplaza el enfoque de la defensa perimetral hacia un monitoreo más profundo en tiempo de ejecución y la detección de anomalías.

Qué puede hacer

• Actualice PHP en todos los hosts a la última versión para parchear inmediatamente CVE-2026-109618 y CVE-2026-109619.
• Monitoree los registros buscando la secuencia específica de una solicitud POST que devuelve un error 500, seguida de agotamiento de memoria de PHP y caídas de workers de Apache.
• Escanee la presencia de delimitadores de encabezado de sección como ==SHELLUSER== en las salidas de comandos para detectar actividad asistida por IA.
• Revise la configuración de sesión para garantizar que session.serialize_handler no se cambie en tiempo de ejecución si no es necesario, mitigando CVE-2026-115560.
• Implemente limitación de tasa (rate-limiting) y análisis conductual para detectar campañas de escaneo lentas y constantes que rotan nodos.
• Utilice herramientas como el escáner de Xint para verificar la exposición a PHP2Shell en toda su infraestructura.