[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre":3,"prev-/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre":557,"next-/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre":535,"related-/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre":560,"author-Diego Herrera":579},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":513,"cta":514,"date":518,"dateModified":518,"description":519,"draft":520,"extension":521,"faq":522,"featured":520,"howto":535,"image":536,"imageAlt":537,"intent":538,"keywords":539,"meta":544,"navigation":545,"path":546,"publishedTime":547,"readingTime":548,"seo":549,"seoTitle":550,"stem":551,"tags":552,"__hash__":556},"blog/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre.md","PHP2Shell, día 7: Palo Alto ya ve ataques contra la consola de PAN-OS y CISA mete las fallas de PHP a su catálogo de explotadas","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":502},"minimark",[11,31,42,66,71,74,145,160,173,177,180,246,253,260,263,267,281,284,325,339,343,407,419,430,434,475,487,491,494],[12,13,14,18,19,22,23,26,27,30],"p",{},[15,16,17],"strong",{},"PHP2Shell ya no es solo una carrera de parches: hay ataques."," Este martes 27 de octubre de 2026, Palo Alto Networks actualizó su aviso CVE-2026-109618 y cambió el estado de explotación. Donde el lunes decía que no conocía explotación maliciosa, ahora dice que ",[15,20,21],{},"observó explotación activa dirigida a la interfaz de administración de PAN-OS expuesta a internet",". En la misma revisión subió la severidad a ",[15,24,25],{},"Crítica"," y la urgencia sugerida a ",[15,28,29],{},"Highest",", la más alta de su escala.",[12,32,33,34,37,38,41],{},"Un día antes, el lunes 26, la agencia de ciberseguridad de Estados Unidos (CISA) había agregado ",[15,35,36],{},"CVE-2026-109618 y CVE-2026-109619"," a su catálogo de vulnerabilidades explotadas conocidas (KEV), con fecha límite del ",[15,39,40],{},"jueves 29 de octubre"," para sus dependencias federales: tres días, el plazo corto que CISA reserva para lo urgente. Y en Suiza apareció la primera víctima con nombre.",[12,43,44,45,50,51,55,56,60,61,65],{},"Si llegas tarde: el 21 de octubre PHP corrigió ",[46,47,49],"a",{"href":48},"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","las dos fallas",", el 23 Palo Alto fijó su ",[46,52,54],{"href":53},"/blog/noticias/php2shell-palo-alto-parches-26-30-octubre","calendario de hotfixes del 26 al 30",", el 25 salieron los ",[46,57,59],{"href":58},"/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560","primeros tres"," y el 26, ",[46,62,64],{"href":63},"/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli","cuatro más de la rama 11.1",".",[67,68,70],"h2",{"id":69},"qué-está-expuesto-y-qué-no","Qué está expuesto y qué no",[12,72,73],{},"El FAQ del aviso es preciso, y eso ayuda a priorizar:",[75,76,77,90],"table",{},[78,79,80],"thead",{},[81,82,83,87],"tr",{},[84,85,86],"th",{},"Componente",[84,88,89],{},"¿Afectado por PHP2Shell?",[91,92,93,104,113,121,128,135],"tbody",{},[81,94,95,99],{},[96,97,98],"td",{},"Interfaz web de administración (consola HTTPS y API XML)",[96,100,101],{},[15,102,103],{},"Sí",[81,105,106,109],{},[96,107,108],{},"Interfaz de datos con perfil de administración asignado",[96,110,111],{},[15,112,103],{},[81,114,115,118],{},[96,116,117],{},"Interfaz de datos sin perfil de administración",[96,119,120],{},"No",[81,122,123,126],{},[96,124,125],{},"Portal y gateway de GlobalProtect, VPN sin cliente",[96,127,120],{},[81,129,130,133],{},[96,131,132],{},"Portal cautivo",[96,134,120],{},[81,136,137,140],{},[96,138,139],{},"Panorama (virtual y M-Series)",[96,141,142,144],{},[15,143,103],{},", con las mismas versiones de PAN-OS",[12,146,147,148,151,152,155,156,159],{},"No hace falta ninguna configuración especial para ser vulnerable. Lo que cambia el riesgo es ",[15,149,150],{},"desde dónde se llega a la consola",": Palo Alto califica la falla con ",[15,153,154],{},"9.2"," (CVSS 4.0) cuando la administración se alcanza desde internet y con ",[15,157,158],{},"5.2"," cuando solo se entra desde un equipo de salto interno. Si tu proveedor dejó la consola abierta \"para dar soporte remoto\", hoy es el día de cerrarla.",[161,162,165],"callout",{"icon":163,"title":164},"i-lucide-shield-alert","Revisa la consola antes que el hotfix",[12,166,167,168,172],{},"Restringir la administración a direcciones IP internas o a un equipo de salto se hace en minutos y no requiere reinicio. Hazlo hoy aunque tu hotfix salga hasta el viernes. Si ya viviste la ",[46,169,171],{"href":170},"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","falla de la consola de PAN-OS de este mes",", es la misma receta.",[67,174,176],{"id":175},"los-hotfixes-once-fuera-nueve-por-venir","Los hotfixes: once fuera, nueve por venir",[12,178,179],{},"El 27 de octubre Palo Alto marcó como liberados cuatro hotfixes más, dos de ellos un día antes de lo previsto:",[75,181,182,192],{},[78,183,184],{},[81,185,186,189],{},[84,187,188],{},"Estado",[84,190,191],{},"Versiones de PAN-OS",[91,193,194,202,214,222,230,238],{},[81,195,196,199],{},[96,197,198],{},"Liberado (25–26 oct)",[96,200,201],{},"10.2.18-h13, 11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16, 11.1.16-h4, 11.2.10-h16",[81,203,204,209],{},[96,205,206],{},[15,207,208],{},"Liberado (27 oct)",[96,210,211],{},[15,212,213],{},"10.2.13-h27, 10.2.16-h12, 12.1.7-h11, 12.2.4-h1",[81,215,216,219],{},[96,217,218],{},"Estimado martes 27 oct",[96,220,221],{},"11.2.13-h4 (seguía con fecha estimada al cierre de esta nota)",[81,223,224,227],{},[96,225,226],{},"Estimado miércoles 28 oct",[96,228,229],{},"11.2.16-h1",[81,231,232,235],{},[96,233,234],{},"Estimado jueves 29 oct",[96,236,237],{},"10.2.10-h42, 11.2.7-h23, 12.1.4-h13",[81,239,240,243],{},[96,241,242],{},"Estimado viernes 30 oct",[96,244,245],{},"10.2.7-h39, 11.1.7-h12, 11.2.4-h23, 12.1.10-h3",[12,247,248,249,252],{},"Con esto, ",[15,250,251],{},"12.2 queda cubierta"," y la rama 10.2 solo espera dos versiones. La 11.2 es la más atrasada: cuatro de sus cinco hotfixes siguen pendientes.",[12,254,255,256,259],{},"Mientras llega el tuyo, Palo Alto mantiene las firmas de prevención de amenazas (Threat ID 543004 y la serie 97622 a 97678) con contenido de aplicaciones y amenazas ",[15,257,258],{},"9162 o posterior",". Ojo: las firmas actúan sobre el plano de datos, y el propio aviso las acompaña de pasos adicionales para la consola: pasar el tráfico del puerto MGT por un puerto de datos, cambiar el certificado de administración, descifrar ese tráfico y aplicarle prevención. Si tu consola sale directo por el puerto MGT, no cuentes con las firmas; cuenta con restringir el acceso.",[261,262],"ad-banner",{},[67,264,266],{"id":265},"brotli-también-llega-a-pan-os-pero-con-menos-alcance","Brotli también llega a PAN-OS, pero con menos alcance",[12,268,269,270,273,274,277,278,65],{},"El lunes 26, Palo Alto publicó un aviso aparte para ",[15,271,272],{},"CVE-2026-111497",", la falla en la librería de compresión Brotli que ",[46,275,276],{"href":63},"obligó a PHP a reconstruir sus paquetes de Windows",". Es un desbordamiento de memoria en el descompresor que puede filtrar memoria, tumbar el servicio o, posiblemente, ejecutar código. CISA la agregó al catálogo KEV este martes 27, con plazo al ",[15,279,280],{},"10 de noviembre",[12,282,283],{},"En los firewalls el alcance es mucho menor que el de PHP2Shell:",[285,286,287,295,306,318],"ul",{},[288,289,290,291,294],"li",{},"Solo afecta a equipos PA-Series y VM-Series que ",[15,292,293],{},"inspeccionan tráfico comprimido con Brotli y tienen descifrado TLS activo"," en el plano de datos. La consola de administración no está afectada.",[288,296,297,298,301,302,305],{},"La inspección de Brotli no existe antes de PAN-OS 11.2.4 y ",[15,299,300],{},"viene apagada de fábrica"," desde esa versión. Las ramas ",[15,303,304],{},"11.1 y 10.2 no están afectadas",", ni Panorama.",[288,307,308,309,313,314,317],{},"Para revisarlo: en la línea de comandos, ",[310,311,312],"code",{},"show system setting brotli","; si dice ",[310,315,316],{},"Enabled: yes",", estás expuesto. En 12.1.2 o posterior también lo ves en Device > Setup > Content-ID, casilla \"Allow Brotli Encoding\".",[288,319,320,321,324],{},"Para apagarlo: ",[310,322,323],{},"set system setting brotli-encoding disable",". Existe además la firma Threat ID 97686 (contenido 9165 o posterior), con cobertura parcial.",[12,326,327,330,331,334,335,338],{},[15,328,329],{},"No son dos actualizaciones."," El mismo hotfix corrige PHP y Brotli, con una excepción: ",[15,332,333],{},"11.2.10-h16"," solo trae lo de PHP. Si ya la instalaste, toca subir a ",[15,336,337],{},"11.2.10-h17",", liberada el 27 de octubre.",[67,340,342],{"id":341},"el-resto-del-panorama-al-27-de-octubre","El resto del panorama al 27 de octubre",[75,344,345,354],{},[78,346,347],{},[81,348,349,352],{},[84,350,351],{},"Tema",[84,353,188],{},[91,355,356,367,375,383,395],{},[81,357,358,361],{},[96,359,360],{},"Explotación contra PAN-OS",[96,362,363,366],{},[15,364,365],{},"Confirmada"," por Palo Alto contra consolas expuestas a internet; sin detalles de víctimas ni indicadores públicos",[81,368,369,372],{},[96,370,371],{},"Catálogo KEV de CISA",[96,373,374],{},"CVE-2026-109618 y 109619 desde el 26-oct (plazo 29-oct); Brotli desde el 27-oct (plazo 10-nov)",[81,376,377,380],{},[96,378,379],{},"Primera víctima con nombre",[96,381,382],{},"TCS Camping, del Touring Club Schweiz: robo de datos de clientes y reservas",[81,384,385,388],{},[96,386,387],{},"CVE-2026-115560",[96,389,390,391,394],{},"Palo Alto dice que ",[15,392,393],{},"no afecta a PAN-OS"," ni a Panorama; PHP sigue sin parche, solo mitigación",[81,396,397,400],{},[96,398,399],{},"PHP",[96,401,402,403,406],{},"Sin versión nueva desde el 21-oct; los paquetes de Windows ",[310,404,405],{},"-1"," del 26 son por Brotli",[12,408,409,410,413,414,418],{},"Lo de Suiza vale como advertencia para cualquier PyME con sitio de reservas o tienda en PHP. Según inside-it.ch, que cita a un vocero del TCS ante la agencia Keystone-SDA, los atacantes usaron las fallas de PHP para llevarse ",[15,411,412],{},"nombres, teléfonos y números de reserva",", y con eso mandaron mensajes de WhatsApp falsos sobre reservaciones reales. El TCS dice que cuentas bancarias e IBAN no se vieron afectados. La nota no precisa qué CVE ni cuántos clientes. El patrón es el mismo que vemos en México: el robo de datos no termina en el servidor, termina en un ",[46,415,417],{"href":416},"/glosario/phishing","phishing"," muy creíble a tus clientes.",[12,420,421,422,425,426,429],{},"Sobre CVE-2026-115560, la falla del progreso de carga de sesiones que PHP anunció el 23: Palo Alto explica que depende de una configuración poco común que PAN-OS no usa. Para tus servidores propios, la mitigación sigue igual: ",[310,423,424],{},"session.upload_progress.enabled = 0"," en ",[310,427,428],{},"php.ini"," o en el pool de PHP-FPM hasta la próxima versión de mantenimiento, que PHP no ha fechado.",[67,431,433],{"id":432},"qué-hacer-hoy-y-esta-semana","Qué hacer hoy y esta semana",[435,436,437,447,453,459,465],"ol",{},[288,438,439,442,443,65],{},[15,440,441],{},"Hoy: saca la consola de internet."," Entra al firewall y revisa en los perfiles de administración qué interfaces permiten HTTPS o la API y desde qué IP. Deja solo la red interna o un equipo de salto. Si no tienes cómo verlo desde fuera, usa nuestro método para ",[46,444,446],{"href":445},"/blog/tutorial/escanear-vulnerabilidades-red","escanear vulnerabilidades en tu red",[288,448,449,452],{},[15,450,451],{},"Hoy: busca señales."," Revisa los registros de configuración y de sistema de los últimos siete días: inicios de sesión de administración desde IP desconocidas, cuentas nuevas, cambios que nadie hizo. Si encuentras algo, no parches encima: respalda los registros y pide ayuda antes de tocar el equipo.",[288,454,455,458],{},[15,456,457],{},"Esta semana: instala tu hotfix."," Busca tu versión exacta (Dashboard, \"Software Version\") en la tabla. Si estás en 10.2.13, 10.2.16, 12.1.7 o 12.2.4, el tuyo ya salió. Respalda la configuración fuera del equipo y actualiza primero el pasivo si tienes alta disponibilidad.",[288,460,461,464],{},[15,462,463],{},"Si estás en 11.2:"," confirma que la inspección de Brotli está apagada y, si ya pusiste 11.2.10-h16, agenda el paso a h17.",[288,466,467,470,471,474],{},[15,468,469],{},"Servidores con PHP:"," si alguno quedó sin la versión del 21 de octubre, ya es una falla explotada según CISA. Actualiza y revisa que ",[310,472,473],{},"session.upload_progress.enabled"," siga en 0.",[12,476,477,478,482,483,65],{},"En ",[46,479,481],{"href":480},"/servicios/ciberseguridad","ciberseguridad"," revisamos desde fuera qué consolas expones, aplicamos los hotfixes en ventana y buscamos señales de acceso en los registros del ",[46,484,486],{"href":485},"/glosario/firewall","firewall",[67,488,490],{"id":489},"contexto-y-fuentes","Contexto y fuentes",[12,492,493],{},"Esta nota se basa en el aviso CVE-2026-109618 de Palo Alto Networks (publicado el 21 y revisado tres veces el 27 de octubre de 2026: severidad y urgencia, liberación de 10.2.13-h27 y 10.2.16-h12, y de 12.1.7-h11 y 12.2.4-h1); el aviso CVE-2026-111497 de Palo Alto (publicado el 26 y actualizado el 27 de octubre); el catálogo Known Exploited Vulnerabilities de CISA y su alerta del 27 de octubre de 2026; las noticias de php.net del 23 y 26 de octubre, y la nota de inside-it.ch del 27 de octubre sobre el TCS. Palo Alto no ha publicado indicadores de compromiso ni detalles de los ataques; si los publica, actualizaremos.",[495,496],"call-to-action",{"description":497,"eyebrow":498,"icon":163,"label":499,"title":500,"to":501},"Revisamos desde fuera si tu firewall muestra la administración a internet, la cerramos sin reiniciar y te dejamos el hotfix instalado fuera de horario.","Ciberseguridad","Hablar con un especialista","Ya hay ataques: cierra la consola hoy","/contacto",{"title":503,"searchDepth":504,"depth":505,"links":506},"",2,3,[507,508,509,510,511,512],{"id":69,"depth":504,"text":70},{"id":175,"depth":504,"text":176},{"id":265,"depth":504,"text":266},{"id":341,"depth":504,"text":342},{"id":432,"depth":504,"text":433},{"id":489,"depth":504,"text":490},"noticias",{"title":515,"description":516,"label":517,"to":480,"icon":163},"¿Tu consola de firewall se ve desde internet?","Lo revisamos desde fuera, cerramos el acceso a la administración y te dejamos el hotfix instalado en una ventana fuera de horario.","Revisar mi firewall","2026-10-27","Palo Alto confirmó el 27 de octubre ataques contra consolas de PAN-OS expuestas a internet y subió la urgencia al máximo. CISA pide parchar antes del 29.",false,"md",[523,526,529,532],{"question":524,"answer":525},"¿Ya hay ataques reales contra firewalls Palo Alto por PHP2Shell?","Sí. El martes 27 de octubre de 2026 Palo Alto Networks cambió el estado de explotación de su aviso CVE-2026-109618: ahora dice que observó explotación activa dirigida a la interfaz de administración de PAN-OS expuesta a internet. El mismo día subió la severidad a Crítica y la urgencia sugerida a la máxima (Highest). Hasta el 26 decía que no conocía explotación maliciosa.",{"question":527,"answer":528},"¿Me afecta si solo uso GlobalProtect?","Por esta falla, no directamente. Según el FAQ del aviso, el portal y el gateway de GlobalProtect, la VPN sin cliente y el portal cautivo no están afectados. La falla toca solo la interfaz web de administración (la consola HTTPS y la API XML), y una interfaz de datos solo si tiene un perfil de administración asignado.",{"question":530,"answer":531},"¿Qué significa que CISA haya puesto PHP2Shell en el catálogo KEV?","CISA agregó CVE-2026-109618 y CVE-2026-109619 a su catálogo Known Exploited Vulnerabilities el 26 de octubre, con fecha límite del 29 de octubre para las dependencias federales de Estados Unidos. Ese catálogo solo incluye fallas con explotación comprobada. A una empresa mexicana no la obliga, pero es la señal más clara de que el riesgo dejó de ser teórico.",{"question":533,"answer":534},"¿Tengo que instalar dos hotfixes, uno por PHP y otro por Brotli?","No. Palo Alto indica que el mismo hotfix corrige las fallas de PHP y la de Brotli (CVE-2026-111497). La única excepción es 11.2.10-h16, que solo trae lo de PHP; quien esté en esa versión debe pasar a 11.2.10-h17, liberada el 27 de octubre. Las ramas 11.1 y 10.2 no están afectadas por Brotli.",null,"/images/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre.jpg","Firewall en un rack de oficina con la consola de administración abierta en una laptop y una alerta roja de ataque en pantalla","informational",[540,541,542,543],"php2shell palo alto explotacion","cve-2026-109618 pan-os","cisa kev php 2026","brotli cve-2026-111497 pan-os",{},true,"/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre","2026-10-27T15:30:00-06:00",5,{"title":5,"description":519},"PHP2Shell día 7: ataques a PAN-OS y alta en el KEV","blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre",[481,553,554,555],"palo alto","php","vulnerabilidades","c8ZvmrM7EhHK-9yESWGc-MKT969cNsYHBtDqfv8uyFE",{"path":558,"title":559},"/blog/noticias/teams-ia-detecta-phishing-chats-externos-deepfakes-noviembre","Teams usará IA para detectar phishing en chats externos desde noviembre, y abre la puerta a detectores de deepfakes en reuniones",[561,567,573],{"path":562,"title":563,"description":564,"date":518,"category":513,"image":565,"imageAlt":566,"readingTime":548},"/blog/noticias/windows-11-23h2-24h2-sin-actualizaciones-10-noviembre","Windows 11 23H2 recibe su último parche el 10 de noviembre y 24H2 Home y Pro ya se quedó sin actualizaciones: revisa tus equipos","Windows 11 24H2 Home y Pro dejó de recibir parches el 13 de octubre y 23H2 Enterprise y Education los pierde el 10 de noviembre. Cómo revisar y actualizar.","/images/blog/noticias/windows-11-23h2-24h2-sin-actualizaciones-10-noviembre.jpg","Laptop de oficina con la pantalla Acerca de de Windows 11 mostrando la versión instalada y un calendario marcado en el 10 de noviembre",{"path":568,"title":569,"description":570,"date":518,"category":513,"image":571,"imageAlt":572,"readingTime":548},"/blog/noticias/profeco-ofertas-simuladas-buen-fin-historial-precios","Profeco ya tomó nota de tus precios antes del Buen Fin: cómo demostrar que tus descuentos son reales","Profeco levantó precios antes del Buen Fin 2026 (13 al 17 de noviembre) para detectar ofertas simuladas. Qué dice la ley y cómo respaldar tus descuentos.","/images/blog/noticias/profeco-ofertas-simuladas-buen-fin-historial-precios.jpg","Etiqueta de precio con descuento en una pantalla de televisión en tienda, junto a una gráfica del historial de precios del producto",{"path":574,"title":575,"description":576,"date":518,"category":513,"image":577,"imageAlt":578,"readingTime":548},"/blog/noticias/atlassian-rovo-ia-cobro-por-uso-3-diciembre","Atlassian empieza a cobrar por uso la IA de Rovo y las automatizaciones el 3 de diciembre: pon un tope antes","Desde el 3 de diciembre de 2026, Atlassian factura el uso extra de créditos de Rovo y pasos de Automation en Jira y Confluence. Cuánto incluye y cómo topar.","/images/blog/noticias/atlassian-rovo-ia-cobro-por-uso-3-diciembre.jpg","Panel de administración de Atlassian con una gráfica de consumo de créditos de Rovo acercándose al límite mensual y un aviso al 80 por ciento",{"id":580,"avatar":535,"bio":581,"entityType":582,"expertise":583,"extension":584,"meta":585,"name":6,"role":586,"slug":587,"social":535,"stem":588,"url":7,"__hash__":589},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]