Dream Research atribuyó a una campaña con PHP2Shell y Fragnesia el acceso root a 24 cortafuegos PAN-OS y un servidor interno de gestión, 25 sistemas en total. Los equipos afectados estaban en Estados Unidos, Japón, Taiwán y Corea del Sur. Dream dijo que encontró artefactos de la operación el 25 de octubre de 2026.
NeoTeo ya había seguido PHP2Shell en la noticia sobre los intentos registrados por AWS y la respuesta de SuperTuxKart. La investigación de Dream describe otra campaña, dirigida a cortafuegos PAN-OS.
Una campaña contra 25 sistemas en cuatro países
Dream describió una selección de objetivos que comenzó con unos 19.000 cortafuegos expuestos. Cerca de 5.000 devolvieron información sobre su versión y el filtrado redujo la lista a 240 objetivos; la campaña logró acceso root en 24 cortafuegos y un servidor interno de gestión.
Tres de los sistemas comprometidos estaban asociados a un entorno vinculado al Gobierno de Estados Unidos: dos cortafuegos y el servidor interno. Dream afirmó que Unit 42, el equipo de inteligencia de Palo Alto Networks, verificó de forma independiente las herramientas y los resultados de la operación.
PHP2Shell abrió el acceso y Fragnesia elevó los privilegios
PHP2Shell agrupa dos vulnerabilidades de ejecución remota de código en PHP: CVE-2026-109618 y CVE-2026-109619. Dream describió una implementación personalizada y no pública, adaptada al servidor web de gestión de PAN-OS y al mecanismo session.upload_progress de PHP. Ese servidor también actúa como frontal del portal GlobalProtect.
La ejecución inicial de PHP se produjo con los permisos restringidos del usuario nobody. A continuación, los atacantes encadenaron Fragnesia, una vulnerabilidad de escalada de privilegios del kernel Linux identificada como CVE-2026-46300. Dream describió que Fragnesia altera datos locales de autenticación para obtener acceso root.
Dream identificó PHP 8.0.30 en perfiles de PAN-OS 12.1 y 12.2. En un perfil PAN-OS 11.1 con PHP 7.4.33, Dream verificó en laboratorio ejecución remota de código como nobody; la cadena completa no se calibró en ese perfil.
Un túnel SSH inverso llevó el ataque a la red interna
Dream informó de un túnel SSH inverso que daba acceso a ocho puertos internos y estaba configurado para sobrevivir a los reinicios. El 24 de octubre de 2026, el atacante comprometió un segundo cortafuegos asociado a la organización vinculada al Gobierno estadounidense a las 10:09 UTC. A las 11:35 UTC utilizó el túnel para acceder al servidor interno de gestión, que fue el sistema número 25 de la campaña.
En 22 de los 24 cortafuegos, Dream encontró webshells, herramientas de acceso remoto alojadas en el servidor web, y no registró actividad posterior a la intrusión inicial. Los otros dos cortafuegos del entorno gubernamental se utilizaron para avanzar hacia sistemas internos.
Credenciales y actividad en Active Directory
Dream dijo que los atacantes descifraron la contraseña de una cuenta de servicio LDAP y enumeraron usuarios y grupos de Active Directory. Entre los artefactos recuperados también había claves privadas extraídas de sistemas de archivos PAN-OS e información sobre la topología de la red.
Dream no pudo determinar si tuvieron éxito los intentos posteriores de password spraying, creación de cuentas de acceso ocultas o extracción de claves de firma SAML.
