En una actualización publicada el 29 de octubre, Dream Security identificó los equipos atacados como cortafuegos PAN-OS de Palo Alto Networks e informó de que Unit 42 había verificado de forma independiente las herramientas y los resultados. Dream describió una cadena que combinó PHP2Shell con una vulnerabilidad del kernel de Linux para obtener acceso root a 24 cortafuegos y, después, a un servidor interno de gestión.
Dream situó el punto de entrada en appweb
PHP2Shell es el nombre conjunto de CVE-2026-109618 y CVE-2026-109619. Según Dream, la campaña combinó esos fallos con CVE-2026-46300, una vulnerabilidad de escalada de privilegios del kernel de Linux también llamada Fragnesia. El objetivo fue appweb, el servidor web de gestión de PAN-OS, que también sirve de frontal al portal GlobalProtect. La escalada permitió obtener acceso root, el nivel de privilegios más alto en Linux.
Dream describió un exploit personalizado y no público, con perfiles específicos para cada versión y offsets de memoria precisos. En los perfiles que analizó, asoció PAN-OS 12.1 y 12.2 con PHP 8.0.30, y PAN-OS 11.1 con PHP 7.4.33. Para este último perfil, Dream dijo haber verificado en un laboratorio la ejecución remota de código como nobody, pero no haber calibrado la cadena completa.
El recuento de Dream suma un servidor interno a 24 cortafuegos
Dream afirmó que identificó cerca de 19.000 cortafuegos expuestos a Internet mediante FOFA. Alrededor de 5.000 respondieron con información de versión; los filtros geográficos y de perfiles del exploit redujeron la lista a 240 objetivos. En 24 cortafuegos Dream informó de acceso root. De esos 24, 22 quedaron con webshells, herramientas web que permiten ejecutar acciones en el sistema comprometido. Un servidor interno de gestión de cortafuegos, atacado después, elevó a 25 el total de servidores del relato de Dream.
La secuencia más detallada corresponde a dos cortafuegos vinculados a un entorno afiliado al Gobierno de Estados Unidos. Dream situó el acceso root al primero el 23 de octubre de 2026 a las 18:14 UTC; el equipo se bloqueó poco después. El 24 de octubre, los atacantes explotaron un segundo cortafuegos a las 10:09 UTC y, a las 11:35 UTC, usaron un túnel para llegar al servidor interno de gestión.
Dream describió credenciales extraídas y acciones sin resultado determinado
Dream dijo que los artefactos recuperados mostraban extracción de credenciales y enumeración de directorios. En el servidor interno, la investigación describió también enumeración de cuentas y grupos de LDAP, además de la recuperación de la contraseña de una cuenta de servicio LDAP y de claves privadas.
Dream no pudo determinar si tuvieron éxito otros intentos contra Active Directory: el rociado de contraseñas, la creación de cuentas de puerta trasera y la extracción de claves SAML.
Qué recoge la alerta de CISA del 28 de octubre
La alerta de CISA del 28 de octubre incluyó CVE-2026-41709, una vulnerabilidad de registro insuficiente en Broadcom VMware ESX, y CVE-2026-46300, una vulnerabilidad del kernel de Linux por falta de inicialización. La alerta de CISA enumera esos dos CVE y no incluye CVE-2026-109618 ni CVE-2026-109619.
Para repasar las versiones corregidas de PHP2Shell y las medidas temporales para estos fallos, consulta el artículo de NeoTeo sobre las correcciones y medidas de PHP2Shell.
