Investigadores de varias empresas de ciberinteligencia y respuesta han registrado intentos generalizados de abuso de las fallas conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619) y evidencias de uso de agentes de inteligencia artificial para guiar y ejecutar acciones tras la intrusión.
Qué cambió: explotación masiva y post‑explotación asistida por IA
Las vulnerabilidades PHP2Shell permiten ejecución remota de código en configuraciones por defecto de PHP y, tras su divulgación pública, se ha observado un escaneo y explotación extensivos. Según Unit 42 de Palo Alto Networks, en al menos un caso un grupo de atacantes comprometió un organismo gubernamental en Europa y, en menos de dos horas desde la explotación inicial, accedió a hashes de contraseñas y secretos de autenticación multifactor.
Además, los atacantes establecieron un túnel NTLM‑relay hacia Active Directory e intentaron escalar privilegios a dominio (Domain Admin). Los operadores envolvían lotes de comandos con delimitadores legibles por máquina (por ejemplo, ==SHELLUSER== o ==PASSWD==), lo que facilita que un modelo de IA procese la salida y orqueste pasos siguientes.
Quién está detrás y cómo actúan
CYFIRMA atribuye con moderada confianza la campaña a un actor vinculado al ecosistema Lazarus y ha detectado una red de nodos comprometidos que realizan sondeos de infraestructura PHP en todo el mundo. El escaneo descrito es «low‑and‑slow»: bajo volumen, rotación de nodos y abandono rápido si se detecta bloqueo o limitación, para evadir alertas basadas en umbrales.
Los objetivos iniciales incluyen hosts sin parchear o con mitigaciones parciales en sectores como administración pública, finanzas, logística, aviación y comercio online, distribuidos en varias regiones. La actividad se ha coordinado mediante un canal cerrado en la red I2P, según la firma.
Cómo operan técnicamente los exploits
El exploit requiere manipular nombres de campos de formularios de manera que provoquen fallos de asignación de memoria mientras PHP copia esos nombres en estructuras internas. Esa condición, combinada con la necesidad de derrotar ASLR para localizar direcciones válidas, permite provocar corrupción de memoria y ejecutar código.
Investigadores han descrito una secuencia de artefactos que puede ayudar a la detección: una petición POST que devuelve un error 500, mensajes de agotamiento de memoria y corrupción del heap en los registros de PHP, seguido del fallo del worker de Apache. Estas señales, en conjunto, son indicadoras útiles para equipos de defensa.
Impacto y quiénes están en riesgo
Dado que PHP es omnipresente —gestiona desde CMS y tiendas online hasta herramientas internas— una vulnerabilidad en el motor no se corrige cambiando únicamente el código de la aplicación. Escaneos a gran escala han mostrado millones de intentos de explotación tras la publicación de los fallos, por lo que cualquier servidor que ejecute PHP sin actualizar o con configuraciones vulnerables corre riesgo.
Qué deben hacer administradores y responsables de sitios
- Actualizar PHP en el host: la única forma de cerrar la brecha en el runtime es aplicar las correcciones oficiales del lenguaje en el servidor donde corre PHP.
- Monitorear la secuencia de logs: revisar combinaciones de eventos que incluyan POST que devuelven 500, errores de memoria en PHP y fallos de procesos web para detectar explotación.
- Revisar configuraciones: desactivar características no necesarias (por ejemplo, session upload progress si no se usa) y evitar cambios dinámicos inseguros de handlers de serialización en tiempo de ejecución.
- Fortalecer AD y autenticación: vigilar accesos a Active Directory, proteger y rotar hashes y secretos de MFA, y revisar posibles relays NTLM.
- Utilizar detección de comportamiento: las técnicas «low‑and‑slow» requieren soluciones con análisis estadístico y correlación que no dependan solo de umbrales de volumen.
Las firmas de seguridad han publicado utilidades y reglas de detección y varias comunidades han lanzado escáneres para comprobar exposición a PHP2Shell. Los administradores deben priorizar la actualización del runtime PHP y la revisión de logs y controles de acceso para reducir el riesgo de compromiso y movimiento lateral.
Lee también:
- Descubren dos fallos RCE en PHP que permiten ejecución remota de código
- Brecha en Capcom expone 11,7 millones de correos y cambia contraseñas de 196 cuentas
Fuente: The Hacker News
