PHP2Shell, día 7: Palo Alto ya ve ataques contra la consola de PAN-OS y CISA mete las fallas de PHP a su catálogo de explotadas

PHP2Shell ya no es solo una carrera de parches: hay ataques. Este martes 27 de octubre de 2026, Palo Alto Networks actualizó su aviso CVE-2026-109618 y cambió el estado de explotación. Donde el lunes decía que no conocía explotación maliciosa, ahora dice que observó explotación activa dirigida a la interfaz de administración de PAN-OS expuesta a internet. En la misma revisión subió la severidad a Crítica y la urgencia sugerida a Highest, la más alta de su escala.

Un día antes, el lunes 26, la agencia de ciberseguridad de Estados Unidos (CISA) había agregado CVE-2026-109618 y CVE-2026-109619 a su catálogo de vulnerabilidades explotadas conocidas (KEV), con fecha límite del jueves 29 de octubre para sus dependencias federales: tres días, el plazo corto que CISA reserva para lo urgente. Y en Suiza apareció la primera víctima con nombre.

Si llegas tarde: el 21 de octubre PHP corrigió las dos fallas, el 23 Palo Alto fijó su calendario de hotfixes del 26 al 30, el 25 salieron los primeros tres y el 26, cuatro más de la rama 11.1.

Qué está expuesto y qué no

El FAQ del aviso es preciso, y eso ayuda a priorizar:

No hace falta ninguna configuración especial para ser vulnerable. Lo que cambia el riesgo es desde dónde se llega a la consola: Palo Alto califica la falla con 9.2 (CVSS 4.0) cuando la administración se alcanza desde internet y con 5.2 cuando solo se entra desde un equipo de salto interno. Si tu proveedor dejó la consola abierta "para dar soporte remoto", hoy es el día de cerrarla.

Los hotfixes: once fuera, nueve por venir

El 27 de octubre Palo Alto marcó como liberados cuatro hotfixes más, dos de ellos un día antes de lo previsto:

Con esto, 12.2 queda cubierta y la rama 10.2 solo espera dos versiones. La 11.2 es la más atrasada: cuatro de sus cinco hotfixes siguen pendientes.

Mientras llega el tuyo, Palo Alto mantiene las firmas de prevención de amenazas (Threat ID 543004 y la serie 97622 a 97678) con contenido de aplicaciones y amenazas 9162 o posterior. Ojo: las firmas actúan sobre el plano de datos, y el propio aviso las acompaña de pasos adicionales para la consola: pasar el tráfico del puerto MGT por un puerto de datos, cambiar el certificado de administración, descifrar ese tráfico y aplicarle prevención. Si tu consola sale directo por el puerto MGT, no cuentes con las firmas; cuenta con restringir el acceso.

Brotli también llega a PAN-OS, pero con menos alcance

El lunes 26, Palo Alto publicó un aviso aparte para CVE-2026-111497, la falla en la librería de compresión Brotli que obligó a PHP a reconstruir sus paquetes de Windows. Es un desbordamiento de memoria en el descompresor que puede filtrar memoria, tumbar el servicio o, posiblemente, ejecutar código. CISA la agregó al catálogo KEV este martes 27, con plazo al 10 de noviembre.

En los firewalls el alcance es mucho menor que el de PHP2Shell:

• Solo afecta a equipos PA-Series y VM-Series que inspeccionan tráfico comprimido con Brotli y tienen descifrado TLS activo en el plano de datos. La consola de administración no está afectada.
• La inspección de Brotli no existe antes de PAN-OS 11.2.4 y viene apagada de fábrica desde esa versión. Las ramas 11.1 y 10.2 no están afectadas, ni Panorama.
• Para revisarlo: en la línea de comandos, show system setting brotli; si dice Enabled: yes, estás expuesto. En 12.1.2 o posterior también lo ves en Device > Setup > Content-ID, casilla "Allow Brotli Encoding".
• Para apagarlo: set system setting brotli-encoding disable. Existe además la firma Threat ID 97686 (contenido 9165 o posterior), con cobertura parcial.

No son dos actualizaciones. El mismo hotfix corrige PHP y Brotli, con una excepción: 11.2.10-h16 solo trae lo de PHP. Si ya la instalaste, toca subir a 11.2.10-h17, liberada el 27 de octubre.

El resto del panorama al 27 de octubre

Lo de Suiza vale como advertencia para cualquier PyME con sitio de reservas o tienda en PHP. Según inside-it.ch, que cita a un vocero del TCS ante la agencia Keystone-SDA, los atacantes usaron las fallas de PHP para llevarse nombres, teléfonos y números de reserva, y con eso mandaron mensajes de WhatsApp falsos sobre reservaciones reales. El TCS dice que cuentas bancarias e IBAN no se vieron afectados. La nota no precisa qué CVE ni cuántos clientes. El patrón es el mismo que vemos en México: el robo de datos no termina en el servidor, termina en un phishing muy creíble a tus clientes.

Sobre CVE-2026-115560, la falla del progreso de carga de sesiones que PHP anunció el 23: Palo Alto explica que depende de una configuración poco común que PAN-OS no usa. Para tus servidores propios, la mitigación sigue igual: session.upload_progress.enabled = 0 en php.ini o en el pool de PHP-FPM hasta la próxima versión de mantenimiento, que PHP no ha fechado.

Qué hacer hoy y esta semana

1. Hoy: saca la consola de internet. Entra al firewall y revisa en los perfiles de administración qué interfaces permiten HTTPS o la API y desde qué IP. Deja solo la red interna o un equipo de salto. Si no tienes cómo verlo desde fuera, usa nuestro método para escanear vulnerabilidades en tu red.
2. Hoy: busca señales. Revisa los registros de configuración y de sistema de los últimos siete días: inicios de sesión de administración desde IP desconocidas, cuentas nuevas, cambios que nadie hizo. Si encuentras algo, no parches encima: respalda los registros y pide ayuda antes de tocar el equipo.
3. Esta semana: instala tu hotfix. Busca tu versión exacta (Dashboard, "Software Version") en la tabla. Si estás en 10.2.13, 10.2.16, 12.1.7 o 12.2.4, el tuyo ya salió. Respalda la configuración fuera del equipo y actualiza primero el pasivo si tienes alta disponibilidad.
4. Si estás en 11.2: confirma que la inspección de Brotli está apagada y, si ya pusiste 11.2.10-h16, agenda el paso a h17.
5. Servidores con PHP: si alguno quedó sin la versión del 21 de octubre, ya es una falla explotada según CISA. Actualiza y revisa que session.upload_progress.enabled siga en 0.

En ciberseguridad revisamos desde fuera qué consolas expones, aplicamos los hotfixes en ventana y buscamos señales de acceso en los registros del firewall.

Contexto y fuentes

Esta nota se basa en el aviso CVE-2026-109618 de Palo Alto Networks (publicado el 21 y revisado tres veces el 27 de octubre de 2026: severidad y urgencia, liberación de 10.2.13-h27 y 10.2.16-h12, y de 12.1.7-h11 y 12.2.4-h1); el aviso CVE-2026-111497 de Palo Alto (publicado el 26 y actualizado el 27 de octubre); el catálogo Known Exploited Vulnerabilities de CISA y su alerta del 27 de octubre de 2026; las noticias de php.net del 23 y 26 de octubre, y la nota de inside-it.ch del 27 de octubre sobre el TCS. Palo Alto no ha publicado indicadores de compromiso ni detalles de los ataques; si los publica, actualizaremos.