Ataque PHP2Shell asistido por IA compromete 25 servidores, incluidos sistemas del gobierno de EE. UU

Investigadores de ciberseguridad de Dream han revelado una sofisticada operación cibernética asistida por IA observada el 25 de octubre de 2026. Un actor de amenazas sospechoso, vinculado a China, aprovechó la cadena de vulnerabilidades PHP2Shell para comprometer 25 servidores, incluidos tres dentro de un entorno afiliado al gobierno de EE. UU.

Qué ocurrió

El ataque tuvo como objetivo firewalls expuestos a Internet que ejecutaban versiones específicas del software de un gran proveedor, aunque no se divulgó públicamente el nombre del fabricante. Dream notificó a la entidad afectada. La intrusión comenzó con la explotación de dos vulnerabilidades distintas: PHP2Shell (CVE-2026-109618 y CVE-2026-109619) y Fragnesia (CVE-2026-46300). PHP2Shell permite la ejecución remota de código sin autenticación, con una puntuación CVSS de 9.2, mientras que Fragnesia es una falla de escalada de privilegios local en el kernel de Linux con una puntuación de 7.8.

El atacante no utilizó código de exploit público. En su lugar, desplegó una compilación personalizada y no pública diseñada específicamente para la plataforma firewall objetivo. Esta implementación dirigida apuntaba al mecanismo session.upload_progress de PHP en el servidor de gestión appweb del firewall. El sistema operativo ejecutaba PHP 8.0.30 con un límite de memoria elevado, lo que facilitó las etapas de corrupción de memoria requeridas para el ataque. Una vez obtenido el acceso inicial, se utilizó el exploit del kernel Fragnesia para escalar los privilegios a root.

Tras comprometer los sistemas, el atacante se centró en tres servidores de la red afiliada al gobierno de EE. UU. Estableció un túnel SSH inverso persistente desde un firewall comprometido hacia su infraestructura, lo que le permitió alcanzar un servidor de gestión interno que no estaba directamente expuesto a Internet. Posteriormente, el atacante se movió lateralmente para atacar Active Directory, intentando descifrar contraseñas de cuentas de servicio LDAP, enumerar usuarios y realizar ataques de password spraying. Aún no está claro si se extrajeron credenciales válidas o si se crearon cuentas backdoor.

Cómo funciona

La operación dependía en gran medida de la inteligencia artificial para mejorar el desarrollo y la ejecución del ataque. Los artefactos forenses revelaron la instalación de Claude Code de Anthropic dentro de la infraestructura del ataque. Además, el atacante utilizó claves API de FOFA, un motor de búsqueda para dispositivos conectados a Internet, y una plataforma ofensiva de seguridad impulsada por IA llamada aiscan. Esta plataforma estaba configurada con modelos de lenguaje grandes de DeepSeek y Kimi. La consistencia en la estructura del código y el estilo de comentarios en casi 40 scripts sugiere que se utilizaron herramientas de IA para generar y refinar el código del exploit.

El ataque siguió un embudo sistemático. Primero, el atacante usó FOFA para identificar aproximadamente 19.000 firewalls expuestos a Internet con interfaces de gestión visibles. Un escáner de versiones personalizado verificó estos dispositivos, y unos 5.000 respondieron con información de versión. El atacante filtró esta lista por geografía, centrándose en EE. UU., Japón, Taiwán y Corea del Sur, y redujo aún más el conjunto a sistemas que ejecutaban PHP 8.0.30. Este proceso arrojó 240 objetivos de alto valor.

Luego, un ejecutor automático por lotes lanzó la cadena de exploits PHP2Shell-Fragnesia contra estos 240 objetivos. El script instaló una web shell en PHP, verificó el acceso root y registró los compromisos exitosos. Esta automatización permitió al atacante comprometer eficientemente 24 servidores antes de pivotar manualmente hacia los objetivos específicos afiliados al gobierno para una infiltración más profunda.

Detalles clave

• El ataque combinó PHP2Shell (CVE-2026-109618/109619) para la ejecución remota de código y Fragnesia (CVE-2026-46300) para la escalada de privilegios.
• Se utilizaron herramientas de IA, incluyendo Claude Code, aiscan, DeepSeek y Kimi, para desarrollar y gestionar los scripts de exploit personalizados.
• Se escanearon aproximadamente 19.000 firewalls, resultando en 25 servidores comprometidos en EE. UU., Japón, Taiwán y Corea del Sur.
• El atacante estableció un túnel SSH inverso persistente para acceder a un servidor de gestión de firewall interno no expuesto directamente a Internet.
• Las actividades post-explotación incluyeron la enumeración de Active Directory, intentos de descifrado de contraseñas de servicios LDAP y ataques de password spraying.
• El exploit personalizado apuntaba al mecanismo session.upload_progress de PHP 8.0.30, aprovechando límites altos de memoria para la corrupción de memoria.

Por qué importa

Este incidente destaca el creciente papel de la IA en reducir la barrera de entrada para el desarrollo complejo de exploits. Aunque se consideraba que PHP2Shell era difícil de explotar en entornos reales debido a la necesidad de offsets de memoria específicos de libphp.so, la asistencia de IA permitió al atacante crear una weaponization fiable y personalizada adaptada a una compilación específica. Esto desafía la suposición de que las vulnerabilidades oscuras o difíciles de explotar proporcionan suficiente seguridad mediante la oscuridad o la complejidad.

Para ingenieros de software y líderes de seguridad, la brecha subraya el riesgo de las interfaces de gestión expuestas. Incluso si un dispositivo es una herramienta de seguridad perimetral como un firewall, su capa de gestión puede convertirse en un punto de entrada a infraestructuras críticas de identidad como Active Directory. La capacidad del atacante para pivotar desde un firewall comprometido hacia servidores internos mediante un túnel inverso demuestra que las defensas perimetrales por sí solas son insuficientes sin una segmentación interna robusta y monitoreo adecuado.

Qué puedes hacer

• Audita todas las interfaces de gestión expuestas a Internet y asegúrate de que no estén accesibles públicamente salvo que sea absolutamente necesario.
• Verifica que tus firewalls y sistemas operativos de servidores no ejecuten PHP 8.0.30 u otras versiones vulnerables a CVE-2026-109618 y CVE-2026-109619.
• Aplica parches para la vulnerabilidad del kernel Fragnesia (CVE-2026-46300) para prevenir la escalada de privilegios local si se obtiene acceso inicial.
• Monitorea conexiones SSH salientes inusuales, particularmente túneles inversos, que pueden indicar un host comprometido comunicándose con infraestructura externa.
• Revisa los registros de Active Directory en busca de señales de intentos de descifrado de contraseñas de servicios LDAP, enumeración de usuarios o ataques de password spraying.
• Implementa una estricta segmentación de red para evitar que dispositivos perimetrales comprometidos accedan a servidores de gestión internos y sistemas de identidad.