El ataque PHP2Shell alcanza la infraestructura gubernamental: los cortafuegos no lo detuvieron, sino que lo facilitaron.
En cuestión de minutos, los hackers lograron un acceso con el que el servicio de seguridad no contaba.
Desde una interfaz de gestión expuesta, los atacantes llegaron al Active Directory de una organización vinculada con el gobierno de EE. UU. La empresa Dream informó que detectó indicios de una campaña en la que una cadena formada por PHP2Shell y la vulnerabilidad de Linux Fragnesia proporcionó a los atacantes acceso root a 25 servidores. Varias horas después de comprometer el perímetro, el ataque se desplazó a la red interna.
Para la ejecución inicial de código se aprovecharon dos fallos de PHP2Shell, CVE-2026-109618 y CVE-2026-109619, ambos con puntuación 9,2 según CVSS 4.0. Luego los atacantes elevaron privilegios mediante Fragnesia, CVE-2026-46300 con puntuación 7,8 según CVSS 3.1. La plataforma objetivo usaba PHP 8.0.30, y la cadena completa convertía la ejecución remota de comandos en acceso root en menos de 15 minutos.
Los atacantes encontraron mediante FOFA alrededor de 19 000 cortafuegos accesibles desde Internet de un gran fabricante no identificado. Tras comprobar las versiones, la lista se redujo a 240 dispositivos en Estados Unidos, Japón, Taiwán y Corea del Sur. Una herramienta automática comprometió con éxito 24 cortafuegos e instaló en ellos un webshell PHP con privilegios root. Dream no revela el fabricante ni las versiones vulnerables.
Dos cortafuegos comprometidos pertenecían a una misma organización vinculada con el gobierno de EE. UU. El primero pronto dejó de responder, pero el segundo fue comprometido por los atacantes el 24 de octubre y se consolidaron mediante un túnel SSH inverso. A través de ese túnel los agresores alcanzaron el servidor interno de gestión de cortafuegos y repitieron la misma cadena, elevando el número de sistemas comprometidos a 25.
Tras obtener acceso root al servidor de gestión, los atacantes descifraron la contraseña de la cuenta de servicio LDAP y exportaron la lista de usuarios y grupos de Active Directory. A continuación llevaron a cabo password spraying, intentos de crear cuentas ocultas y de obtener claves de firma SAML. Dream confirmó el robo de credenciales y el reconocimiento del directorio, pero no pudo determinar si tuvieron éxito las acciones posteriores.
La campaña muestra cómo PHP2Shell, para el que los exploits deben adaptarse a compilaciones concretas, pasa de un escaneo masivo a un acceso dirigido a la infraestructura. En los materiales hallados también aparecían Claude Code y la plataforma aiscan con DeepSeek y Kimi. Dream admite la posible ayuda de IA en el desarrollo de las herramientas, aunque no encontró pruebas directas de ese papel.
Dream no atribuye la operación a un grupo concreto. Indicios como consultas en chino en los registros, la zona horaria UTC+8 y la elección de objetivos apuntan a una posible conexión con China, pero la suma de esos rasgos no demuestra el origen de los atacantes. Los desarrolladores de PHP publicaron anteriormente correcciones en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los ataques reales a través de PHP2Shell ya se habían confirmado también en otros sistemas.