Hilos · 6 noticias en 16 días
PHP2Shell se está explotando contra interfaces de administración de Palo Alto expuestas a internet, y un actor encadenó con un bug de kernel para rootear 25 servidores (28-29/10)
- Noticias
- 6
- Briefings
- 6
- Empieza
- Última
-
Un día de cero en BeyondTrust Remote Support explotado desde agosto por un grupo chino entra al KEV de CISA, con fecha límite federal el 19 de octubre (16/10)
CVE-2026-102764, CVSS 9,3, es validación de origen impropia en un componente interno de mensajería que permite operaciones de archivo remotas en el appliance. La cadena completa importa porque este equipo suele tener las llaves del resto: web shell PHP SAWFLY para acceso remoto y C2 cifrado, tráfico ruteado por nodos de salida de VPN comerciales y routers domésticos y de oficina comprometidos, escalada a root poniendo SUID sobre una shell copiada en /usr/bin/dbus-authd, cosecha de credenciales con el CLI bt-secrets y abuso de plantillas de configuración para root sin contraseña, pivote a sistemas internos por la lista de Jump Items del appliance, exfiltración de documentos, el túnel SOCKS5 BARECLAW expuesto a internet editando haproxy.conf, y borrado de logs de sistema, servidor web y aplicación. La atribución es a Armory Castle —también rastreado como UNC5221 o Warp Panda, activo desde octubre de 2023—, según Mandiant y GTIG, y BeyondTrust evalúa que el actor elige blancos de software de alto valor por adelantado y usa un contexto de IA para desarrollar las cadenas de explotación. La línea de tiempo: 29 de agosto, explotación en un appliance self-hosted; 27 de septiembre, se hace pública la explotación de otro proveedor de dispositivos de seguridad y BeyondTrust arranca la investigación; 9 de octubre, parches empujados a todos los clientes SaaS. Lo que hay que hacer: las versiones self-hosted de 24.3.1 a 26.2.3 aplican el parche BT26-05-RS a mano y las anteriores a 24.3.1 tienen que actualizar primero; cualquier appliance alcanzable desde internet en versión vulnerable durante la ventana debería tratarse como potencialmente comprometido hasta revisarlo, con forense, aislamiento, caza de sesiones privilegiadas no reconocidas y reconstrucción desde un estado bueno conocido. The Hacker News
-
CISA sumó al catálogo de explotadas cinco CVEs de Plex Media Server, encadenables entre sí, con fecha límite federal del 23/10 (20/10)
Las cinco se arreglan en la 1.43.3.10861 y cubren cuatro vectores distintos: CVE-2026-96656 permite a un administrador escribir archivos que pueden ejecutarse al cargarse, CVE-2026-96654 deja llamar funciones de otros plugins sin autenticación, y CVE-2026-96652 y CVE-2026-96655 son SSRF —vía /player/timeline y vía /video/:/transcode/universal, la primera usable con cualquier X-Plex-Token—. Lo que las vuelve serias es la cadena: por separado los CVSS van de 4,3 a 7,2, pero combinadas llevan de SSRF sin privilegios a ejecución de código, y el catálogo KEV significa que ya se están usando. Para el defensor es una actualización simple y urgente: pasar a 1.43.3.10861 y, si el servidor está publicado a internet sin necesidad, sacarlo. Las fechas límite para agencias civiles federales son el 23/10 para las dos primeras y el 3/11 para las dos SSRF; no hay atribución ni cifras de servidores comprometidos. thrunt · CVE Brief
-
CISA confirma explotación activa de las dos RCE de PHP2Shell, con fecha límite federal el 29 de octubre (26/10)
Sigue de lo de ayer, cuando la novedad era el uso de plataformas de IA agéntica para la post-explotación y una tercera RCE: ahora hay confirmación oficial. El lunes 26 CISA agregó CVE-2026-109618 (corrupción por out-of-memory) y CVE-2026-109619 (estado interno de request obsoleto) a su catálogo de vulnerabilidades explotadas conocidas; las dos son CVSS 9.2 y permiten ejecución remota de código sin autenticar. La evidencia pública la puso Adel Karimi, de Perplexity, que reportó RCE exitosa contra honeypots el 24 de octubre —con la salvedad de que las pruebas usaron un perfil mod_php de un solo worker y no miden confiabilidad en otras configuraciones—. Los parches están desde el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, las agencias federales tienen hasta el 29, y Censys todavía estima más de 32,51 millones de servicios PHP corriendo una versión afectada. Aparte, el 26 PHP sacó builds de Windows para CVE-2026-111497 (Broccoli2Shell), una escritura fuera de límites en el decodificador Brotli que se alcanza por la extensión cURL solo si está habilitada la descompresión automática de respuestas, que viene apagada por defecto. The Hacker News · The Hacker News
-
La falla de Brotli y la de Adobe Commerce entran al catálogo de explotadas de CISA, con plazo federal al 10 de noviembre (27-28/10)
Sigue de lo de ayer, cuando ELLIO había reproducido la ejecución de código de Node2Shell en cuatro stacks x86-64 y visto un primer intento fallido: el desarrollo nuevo es que CISA agregó las dos el 27 de octubre, CVE-2026-48356 —PolyShell, CVSS 9,3, subida de archivos sin restricción en Adobe Commerce y Magento— y CVE-2026-111497 —el valor de retorno sin chequear en el decoder de Brotli de Google, CVSS 9,2—, y las agencias federales tienen que parchear antes del 10 de noviembre. Del lado de PolyShell, Sansec reportó cientos de tiendas comprometidas con un loader inyectado por un bloque del CMS de Magento que baja y corre un payload controlado por el atacante; no recuperaron segunda etapa, así que el objetivo de la campaña sigue sin estar claro, y la actividad se estima activa desde al menos julio de 2025. Del lado de Brotli, los honeypots de Previdian registraron un intento desde una IP de EEUU al 27 y ELLIO vio tráfico de explotación usando el exploit público desde 94.154.43.7, en Países Bajos, la misma IP que apuntaba a PHP2Shell —CVE-2026-109618 y CVE-2026-109619—, con un payload bien armado que para ELLIO indica un operador enfocado en explotación masiva. Los parches: Node.js 22.23.4, 24.22.1 y 26.12.1, sin workaround, así que actualizar es el único arreglo completo; PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1; y además Bun, Envoy, Istio,.NET, Python, ClickHouse, la extensión Brotli de PHP y la gema brotli de Ruby. Los dos números para priorizar: Wiz dice que 91% de los entornos cloud tienen recursos vulnerables a CVE-2026-111497 y 82% tienen instancias de Node.js expuestas públicamente, y Sysdig recuerda que solo afecta servicios que decodifiquen datos Brotli influidos por el atacante, lo que incluye a Express 5 con parseo JSON por default, y recomienda priorizar por alcanzabilidad real. The Hacker News
-
PHP2Shell se está explotando contra interfaces de administración de Palo Alto expuestas a internet, y un actor encadenó con un bug de kernel para rootear 25 servidores (28-29/10)
Sigue de lo de ayer, cuando ELLIO veía tráfico de explotación de PHP2Shell desde una IP de Países Bajos: el desarrollo nuevo es que Palo Alto Networks confirmó el miércoles explotación activa contra su interfaz de administración expuesta. Las fallas son CVE-2026-109618 y CVE-2026-109619, CVSS 9,2, ejecución remota de código sin autenticar en las versiones afectadas de PHP, parcheadas upstream el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Lo que importa para evaluar exposición: no hace falta ninguna configuración especial, afecta la interfaz web HTTPS y la API XML, y la interfaz de dataplane solo si tiene un perfil de administración asociado; el riesgo es alto cuando la interfaz de administración es alcanzable desde IPs externas. La parte concreta del ataque la reportó la israelí Dream: un actor presuntamente ligado a China encadenó las fallas de PHP con Fragnesia —CVE-2026-46300, CVSS 7,8, escalada local de privilegios en el kernel de Linux— y rooteó 25 servidores en EEUU, Japón, Taiwán y Corea del Sur, tres de ellos en un entorno afiliado al gobierno de EEUU, para después apuntar a Active Directory con extracción de credenciales y enumeración del directorio; Dream no nombró al fabricante del firewall. CISA agregó Fragnesia al catálogo de explotadas con plazo federal al 31 de octubre, señalando que se puede encadenar con los CVE de PHP para implantar web shells y correr comandos como root. El estado de parches de PAN-OS cubre 12.2, 12.1, 11.2, 11.1 y 10.2, con varias ramas con fechas estimadas entre el 29 y el 30 de octubre; quien no tenga arreglo puede rutear el tráfico del puerto MGT por un puerto DP, reemplazar el certificado de administración entrante, descifrar ese tráfico o habilitar prevención de amenazas sobre él, y los clientes con Frontier Virtual Patching en 12.2.4 o posterior tuvieron cobertura temprana con el Threat ID 543004 del 20 de octubre. Palo Alto dice que según datos de Xpanse menos de 0,01% de su base instalada global tiene interfaces de administración mirando a internet y que contactó a cada cliente potencialmente afectado. The Hacker News
-
Ivanti Connect Secure: encadenan tres fallas para llegar a root sin autenticarse, y CISA pone plazo para el 2 de noviembre (31/10)
Volexity reportó que un actor sin documentar previamente, al que llama UTA0576, combinó el bypass de autenticación CVE-2026-104935 (CVSS 8.6) con ejecución remota de código y la escalada de privilegios CVE-2026-111357 (8.8), más CVE-2026-118527 (4.3), que permite subir archivos controlados a una ubicación conocida del disco. CISA sumó las dos últimas al catálogo KEV el 30/10, con plazos de remediación del 2 y el 13 de noviembre para las agencias federales. Lo que hace el atacante no es lo habitual: en vez de plantar web shells o malware, extrae credenciales y metadata limitada de Active Directory, hace reconocimiento del host y busca contraseñas de administrador y claves de recuperación de BitLocker. Las versiones afectadas son 25.1.1.2 y anteriores —arreglado en 25.1.1.3— y 22.8R2.5 y anteriores, arreglado en 22.8R2.6. The Hacker News
El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.