Una campaña de explotación masiva que aprovecha las vulnerabilidades conocidas como PHP2Shell ha estado atacando servidores expuestos durante más de una semana y podría afectar a más de 22,6 millones de instancias PHP detectadas por telemetría, según informes de distintos equipos de respuesta y fabricantes.
Qué es PHP2Shell y qué cambia
PHP2Shell agrupa fallos en PHP que permiten a un atacante ejecutar código remoto en servidores que procesan solicitudes malformadas. En la práctica, un exploit exitoso puede llevar a ejecución remota de comandos (RCE) y, si se combina con otras vulnerabilidades, escalar privilegios hasta obtener control total del sistema.
Impacto en firewalls y en sitios web
Una campaña notable encadenó exploits contra las fallas PHP2Shell con una vulnerabilidad de escalada de privilegios en el kernel Linux apodada Fragnesia, lo que permitió a atacantes —reportados como vinculados a grupos con origen en China en algunas investigaciones— obtener acceso root en dispositivos de Palo Alto Networks.
Palo Alto Networks ha confirmado incidencias en sus dispositivos PA‑Series y VM‑Series, así como en Panorama, y ha publicado correcciones para varias ramas de PAN‑OS. La compañía subraya que la explotación observada se dirigió a las interfaces de administración expuestas a Internet y que, por defecto, esas interfaces no deberían estar expuestas.
A quién afecta y por qué WordPress ha resistido
Las 22,6 millones de instancias expuestas apuntan a la ubicuidad de PHP en CMS y aplicaciones web (WordPress, Drupal, Joomla y otras). Sin embargo, firmas de seguridad que monitorean tráfico y ataques masivos indican que, pese al alto volumen de intentos, los compromisos confirmados son relativamente pocos y no se han documentado casos generalizados de sitios WordPress comprometidos por PHP2Shell.
Los analistas explican que los exploits suelen necesitar ajustes para cada servidor: factores como ASLR (Address Space Layout Randomization), la forma en que PHP fue compilado, extensiones activas, límites de memoria y el manejador de peticiones influyen en la fiabilidad del exploit. Por eso muchos intentos son pruebas de concepto repetidas o escaneos automatizados que no siempre culminan en ejecución de código.
Cómo están actuando los atacantes
Los registros recopilados por distintas empresas muestran cientos de miles de peticiones relacionadas con PHP2Shell originadas desde un número limitado de IPs en varios países. En algunos casos se observa que, tras un exploit exitoso, el atacante ejecuta comandos simples (por ejemplo, llamadas a curl) para verificar la intrusión y no realiza inmediatamente actividad de post‑explotación compleja.
Qué deben hacer administradores y dueños de sitios
- Actualizar PHP y appliances afectados: aplicar los parches oficiales para PHP y, en el caso de appliances como PAN‑OS, las correcciones publicadas por el proveedor.
- Restringir el acceso a interfaces de gestión: asegúrese de que las interfaces de administración no estén expuestas a Internet; use VPN, listas de control de acceso (ACL) o políticas de acceso cero cuando sea necesario.
- Revisar telemetría y logs: buscar intentos de explotación, peticiones anómalas y comandos curl u otros indicadores de comprobación post‑exploit.
- Hacer pruebas de integridad: en appliances o servidores donde se sospeche compromiso, comprobar integridad de binarios, detectar webshells y, si procede, reinstalar desde imágenes limpias o restaurar desde copias de seguridad fiables.
- Hardenizar PHP: revisar configuración (límites de memoria, módulos innecesarios deshabilitados), aplicar mitigaciones de ASLR/DEP y emplear WAF o reglas de filtrado que bloqueen patrones de exploit conocidos.
Conclusión
La campaña PHP2Shell muestra la combinación peligrosa entre fallos en componentes comunes (PHP) y exploits específicos para appliances o kernels que pueden convertir una intrusión web en un compromiso a nivel root. Aunque los intentos son masivos, la explotación exitosa sigue siendo relativamente escasa y suele requerir ajuste por objetivo; aun así, actualizar y restringir el acceso sigue siendo la medida más urgente para reducir el riesgo.
Lee también:
- Grupo vinculado a China usa el framework de IA ARTEX para atacar más de 200 organizaciones
- eMudhra: claves débiles permitieron forjar certificados; Cloudflare detalla explotación y parcheo
Fuente: SecurityWeek
