-
PHP2Shell: ahora los atacantes usan plataformas de IA agéntica para la post-explotación, y aparece una tercera RCE (25/10)
Sigue de lo de ayer y del 21, cuando PHP2Shell se desplegó en tres entregas y Cognition publicó las skills para parchearlo: la novedad es cómo siguen los atacantes después de entrar por CVE-2026-109618 y CVE-2026-109619. Unit 42 reportó uso de plataformas de IA agéntica para la post-explotación, un túnel de relay NTLM hacia Active Directory y un intento de escalada a Domain Admin. CYFIRMA, con confianza moderada, ata una campaña de escaneo a un operador presuntamente ligado a Corea del Norte por nexos con Lazarus: sondeo de bajo volumen y acompasado desde 21 nodos comprometidos contra 216 hosts sin parchear o parcialmente mitigados, en gobierno, finanzas, logística, aviación y manufactura de Estados Unidos, Japón, Corea del Sur, Tailandia, Indonesia, Australia, Taiwán, India, Singapur, Emiratos, Arabia Saudita y la UE. Y la PHP Foundation avisó de una tercera RCE, CVE-2026-115560, que requiere una combinación poco común de configuración y código de aplicación y se arregla en el ciclo normal de releases. La superficie que da la escala: Bitsight cuenta casi 37 millones de sistemas PHP expuestos a internet, y Cloudflare detectó millones de intentos de explotación después de la divulgación pública. The Hacker News
-
"ShieldBreak": exploit de 0-day de escalada en Windows liberado justo en el Patch Tuesday
El grupo Nightmare Eclipse publicó el 13 de agosto un exploit que permite a cualquier usuario abrir una shell con privilegios de System. Puede que ya esté cubierto por los parches del mismo día, pero conviene verificar el estado de aplicación. Va en paralelo con el 0-day de Windows (CVE-2026-68820, AFD.sys) que Lazarus venía explotando contra empresas de defensa y aeroespacial en Francia, Alemania, Brasil e India. SecurityWeek · The Hacker News (Lazarus)
SecurityWeek The Hacker News (Lazarus) Windows Patch Tuesday
-
Patch Tuesday de agosto: ~400 fallas, 3 zero-days, uno explotado activamente
Microsoft parchó cerca de 400 CVEs (SecurityWeek cuenta 421), incluyendo CVE-2026-68820, un use-after-free en el driver afd.sys (WinSock) que permite escalar a SYSTEM. Check Point atribuye la explotación a Lazarus (Corea del Norte), que lo usó para desplegar una nueva versión del rootkit FudModule contra empresas del sector defensa (Operation Dream Job). También se divulgaron públicamente CVE-2026-62832 (User Profile Service) y CVE-2026-72971 (Container Isolation FS Filter). Prioridad: parchear ya. Fuentes: BleepingComputer, SecurityWeek, The Hacker News.
BleepingComputer SecurityWeek The Hacker News Microsoft Patch Tuesday