Ataque PHP2Shell compromete 25 servidores y vulnera una red vinculada al gobierno de EE.UU.

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han re­ve­la­do de­ta­lles de lo que pa­re­ce ser un ata­que asis­ti­do por in­te­li­gen­cia ar­ti­fi­cial (IA), or­ques­ta­do por un actor de ame­na­zas pre­sun­ta­men­te vin­cu­la­do a China, el cual ha apro­ve­cha­do las vul­ne­ra­bi­li­da­des PHP2Shell para com­pro­me­ter sis­te­mas ex­pues­tos.

La ac­ti­vi­dad, ob­ser­va­da el 25 de oc­tu­bre de 2026, con­sis­tió en el uso com­bi­na­do de PHP2Shell y un ex­ploit de es­ca­la­mien­to de pri­vi­le­gios en el ker­nel, per­mi­tien­do al ata­can­te ob­te­ner ac­ce­so de root en 25 ser­vi­do­res, in­clui­dos tres sis­te­mas per­te­ne­cien­tes a un en­torno vin­cu­la­do al go­bierno de los Es­ta­dos Uni­dos.

"Los dis­po­si­ti­vos afec­ta­dos eje­cu­tan ver­sio­nes es­pe­cí­fi­cas del soft­wa­re de fi­re­wall de un im­por­tan­te pro­vee­dor", se­ña­ló la firma de ci­ber­se­gu­ri­dad Dream Group. "Pos­te­rior­men­te, el ata­can­te lanzó ata­ques con­tra Ac­ti­ve Di­rec­tory. Los ar­te­fac­tos re­cu­pe­ra­dos con­fir­man la ex­trac­ción de cre­den­cia­les y la enu­me­ra­ción del di­rec­to­rio".

Aun­que no se re­ve­ló el nom­bre del pro­vee­dor afec­ta­do, la em­pre­sa is­rae­lí in­di­có que ya ha no­ti­fi­ca­do a la en­ti­dad en cues­tión. La ca­de­na de ata­que com­bi­na, esen­cial­men­te, dos con­jun­tos de vul­ne­ra­bi­li­da­des que afec­tan a PHP y al ker­nel de Linux…

"La im­ple­men­ta­ción que re­cu­pe­ra­mos es una ver­sión per­so­na­li­za­da y no pú­bli­ca; no se trata de una copia de nin­gún ex­ploit co­no­ci­do para PHP2Shell", ex­pli­ca­ron los in­ves­ti­ga­do­res de Dream. "Aun­que sigue el mismo con­cep­to sub­ya­cen­te, pa­re­ce haber sido de­sa­rro­lla­da de forma in­de­pen­dien­te y adap­ta­da es­pe­cí­fi­ca­men­te para la pla­ta­for­ma de fi­re­wall ata­ca­da"…