Investigadores reportan exploit encadenado PHP2Shell que comprometió 25 servidores, incluidos sistemas del Gobierno de EE. UU.

Qué pasó

• Investigadores de Dream reportaron artefactos de una campaña que comprometió 25 servidores en Estados Unidos, Japón, Taiwán y Corea del Sur, incluidos sistemas en un entorno afiliado al Gobierno de EE. UU.
• El atacante encadenó una compilación personalizada y no pública de PHP2Shell (CVE-2026-109618 / CVE-2026-109619) con un exploit de escalada de privilegios del kernel, Fragnesia (CVE-2026-46300), para obtener acceso root en una sola solicitud HTTP sin credenciales.
• La cadena PHP2Shell utilizó un agotamiento de memoria de aproximadamente 383 MB y una configuración de referencia obsoleta de aproximadamente 500 MB para crear una referencia falsificable, según los investigadores.
• Los investigadores recuperaron 11 archivos JSON de perfiles de versión, uno por cada versión de sistema operativo de firewall probada, que contenían offsets de libphp.so, hashes SHA256, build IDs de ELF y parámetros de geometría de memoria; el informe dice que los perfiles se crearon para 9 versiones de software.
• El primer firewall fue comprometido el 23 de octubre a las 18:14 UTC; una campaña dedicada contra un segundo sistema tuvo éxito el 24 de octubre a las 10:09 UTC, y un tercer servidor de gestión de firewalls del Gobierno fue explotado a las 11:35 UTC, menos de 90 minutos después.
• Los investigadores dijeron que no encontraron evidencia directa de que se usaran herramientas de IA para escribir el exploit o los scripts de post-explotación, pero citaron la estructura del código, el estilo de comentarios y la consistencia en unos 40 scripts como indicios de desarrollo asistido por IA.

Por qué importa

El informe describe una cadena sin credenciales contra firewalls expuestos a internet y afirma haber obtenido acceso persistente al dominio Active Directory interno de una organización del Gobierno de EE. UU., lo que haría prioritario parchear las versiones de firewall afectadas y revisar las interfaces de gestión expuestas.

Qué se desconoce

Los hallazgos provienen del informe de un único grupo de investigación y no han sido confirmados de forma independiente. La atribución a una campaña china y la evaluación de desarrollo asistido por IA se describen como inferencias y no como evidencia directa. El proveedor no se nombra en los extractos y no se enumeran las versiones específicas de firewall afectadas.