Dream informa sobre una cadena de ataque PHP2Shell que comprometió 25 servidores

Dream informó sobre una cadena de ataque PHP2Shell que, según afirma, comprometió 25 servidores, incluidos sistemas de un entorno vinculado al Gobierno de EE. UU. Su investigación del 26 de octubre describe cómo una interfaz de administración de cortafuegos expuesta se convirtió en una vía hacia la infraestructura de identidad interna.

El total informado comprende 24 cortafuegos perimetrales y un servidor de administración interno. Dream no reveló el proveedor ni las versiones de software afectados y dijo que notificó al proveedor.

Cómo la cadena de explotación atravesó dos barreras de seguridad

La cadena combinó PHP2Shell, registrado como CVE-2026-109618 y CVE-2026-109619, con la vulnerabilidad de escalada de privilegios de Linux Fragnesia, CVE-2026-46300.

Estas vulnerabilidades superan barreras distintas. La ejecución remota de código permite a un atacante ejecutar código a través de un servicio accesible. Luego, la escalada local de privilegios puede convertir un acceso limitado en el control del sistema operativo. Al combinarlas, cambia el enfoque de respuesta al incidente: los investigadores deben considerar a qué podía acceder el dispositivo comprometido más allá de su propia interfaz de administración.

Red Hat describe Fragnesia como una falla en el subsistema XFRM ESP-in-TCP del núcleo de Linux. El procesamiento criptográfico inseguro puede permitir que un atacante local con pocos privilegios modifique la caché de páginas de archivos de solo lectura, sobrescriba archivos binarios privilegiados y obtenga privilegios de superusuario. Por tanto, se trata de un mecanismo de escalada distinto, no del punto de entrada inicial sin autenticación.

Dream confirmó la extracción de una credencial de cuenta de servicio LDAP y la enumeración del directorio. No pudo determinar si tuvieron éxito los intentos de probar contraseñas en múltiples cuentas, crear una cuenta de puerta trasera o extraer la clave de firma de SAML. Esos límites son importantes: el acceso confirmado a la información del directorio no demuestra que se haya tomado el control total de Active Directory.

Qué demuestran las pruebas sobre la IA

Los investigadores encontraron Claude Code instalado y una plataforma ofensiva configurada con DeepSeek y Kimi. Dream dijo que no tenía pruebas directas de que estas herramientas hubieran escrito el exploit o los scripts posteriores a la explotación y no calificó la operación de totalmente autónoma. Su hipótesis sobre un posible vínculo con China es provisional; no identificó a ningún actor de amenazas.

Para los defensores, esta distinción separa las herramientas observables de las conclusiones sobre la autoría, la identidad de los operadores o el grado de autonomía. La presencia de un asistente de programación puede respaldar una hipótesis sobre el flujo de trabajo, pero por sí sola no permite determinar qué decisiones tomó un modelo ni quién dirigió la operación.

Las correcciones de PHP y el período de explotación anterior a la divulgación

El aviso del proyecto PHP del 21 de octubre identifica PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 como las versiones de seguridad que corrigen las dos vulnerabilidades críticas de ejecución remota de código. Una se debe a que la gestión de una condición de memoria agotada deja parcialmente sin inicializar datos internos de la solicitud; la otra, a que un estado interno obsoleto persiste después de liberar la memoria que lo respaldaba.

El proyecto advierte que las instalaciones de PHP que atienden solicitudes web están en riesgo y que el riesgo evaluado es máximo en la configuración mod_php de Apache. Señala que las mitigaciones parciales no ofrecen protección completa e indica a los usuarios que actualicen. En los dispositivos empaquetados, la vía práctica para corregir el problema depende del firmware compatible del proveedor y de las correcciones retroportadas, no solo del número de versión del entorno de ejecución.

Unite.AI ya había cubierto los parches de PHP y el papel de la IA de vanguardia en el descubrimiento de las fallas. Este nuevo informe desplaza la atención del descubrimiento a las consecuencias de una implementación expuesta.

Por separado, Amazon Threat Intelligence informó de intentos de explotación de PHP2Shell en su red de honeypots MadPot a partir del 17 de octubre, antes de la divulgación pública. Estos datos de telemetría no demuestran que la misma persona u organización llevara a cabo la campaña que describe Dream.

AWS recomienda medir en horas los plazos de mitigación de las vulnerabilidades críticas expuestas a Internet, investigar desde el primer momento conocido de explotación en lugar de tomar como referencia la fecha de divulgación y desarrollar mecanismos de detección que no dependan únicamente de una firma específica de una CVE. En el caso de PHP2Shell, recomienda revisar los registros al menos desde el 17 de octubre.

El lugar que ocupa la tecnología de Dream

En el sitio web de la empresa, Dream presenta Hero como un sistema autónomo de investigación en ciberseguridad que permite investigar vulnerabilidades, realizar ingeniería inversa de malware, llevar a cabo análisis forenses y validar correcciones. Su plataforma complementaria Sphere se centra en identificar la exposición y priorizar la defensa en entornos gubernamentales y de infraestructura crítica.

La diferencia técnica radica en investigar una vulnerabilidad concreta frente a comprender dónde tiene importancia dentro de una red operativa. Un dispositivo perimetral, su servidor de administración y un directorio de identidades pueden tener distintos responsables y ciclos de actualización; aun así, un atacante puede conectarlos en una misma ruta. Para contener eficazmente la amenaza, es necesario examinar esa ruta además de instalar las actualizaciones pertinentes.