[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido":3,"prev-/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido":368,"next-/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido":346,"related-/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido":371,"author-Diego Herrera":390},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":323,"cta":324,"date":329,"dateModified":329,"description":330,"draft":331,"extension":332,"faq":333,"featured":331,"howto":346,"image":347,"imageAlt":348,"intent":349,"keywords":350,"meta":355,"navigation":356,"path":357,"publishedTime":358,"readingTime":359,"seo":360,"seoTitle":361,"stem":362,"tags":363,"__hash__":367},"blog/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido.md","PHP2Shell, día 2: tu firewall, tu conmutador y tu NAS también traen PHP, y algunos aún no tienen parche","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":314},"minimark",[11,19,28,33,116,119,123,126,134,142,145,149,152,228,241,245,296],[12,13,14,18],"p",{},[15,16,17],"strong",{},"Ayer el problema era actualizar PHP en tus servidores web. Hoy, jueves 22 de octubre de 2026, el problema es otro: los equipos que traen PHP por dentro y que tú no puedes actualizar."," Palo Alto Networks confirmó que sus firewalls con PAN-OS y su consola Panorama son vulnerables a PHP2Shell, y todavía no hay versión corregida.",[12,20,21,22,27],{},"Si te perdiste el inicio, el resumen está en nuestra nota de ayer sobre ",[23,24,26],"a",{"href":25},"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","las fallas CVE-2026-109618 y CVE-2026-109619 en PHP",": dos errores que permiten ejecutar código en un servidor sin usuario ni contraseña, corregidos el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.",[29,30,32],"h2",{"id":31},"lo-que-cambió-en-24-horas","Lo que cambió en 24 horas",[34,35,36,49],"table",{},[37,38,39],"thead",{},[40,41,42,46],"tr",{},[43,44,45],"th",{},"Hecho",[43,47,48],{},"Fuente y fecha",[50,51,52,65,77,89,97,104],"tbody",{},[40,53,54,62],{},[55,56,57,58,61],"td",{},"PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2 (todas las compilaciones) y Panorama, ",[15,59,60],{},"afectados y sin versión corregida"," (\"ETA: TBD\")",[55,63,64],{},"Aviso CVE-2026-109618 de Palo Alto, 21 oct 2026",[40,66,67,74],{},[55,68,69,70,73],{},"La parte vulnerable es la ",[15,71,72],{},"consola web de administración y la API XML","; GlobalProtect y el portal cautivo no están afectados",[55,75,76],{},"Mismo aviso",[40,78,79,86],{},[55,80,81,82,85],{},"Amazon registró en su red de señuelos (MadPot) un intento de explotación el ",[15,83,84],{},"17 de octubre",", cuatro días antes de la divulgación",[55,87,88],{},"Help Net Security, actualización del 22 oct, 1:17 a. m. hora del este de EE. UU.",[40,90,91,94],{},[55,92,93],{},"Fortinet revisa 12 productos y Cisco 31 productos y servicios; ninguno ha confirmado un equipo vulnerable",[55,95,96],{},"Help Net Security, 22 oct",[40,98,99,102],{},[55,100,101],{},"Searchlight Cyber publicó un escáner gratuito y de código abierto para saber si un equipo es vulnerable",[55,103,96],{},[40,105,106,113],{},[55,107,108,109,112],{},"PHP2Shell ",[15,110,111],{},"no"," está en el catálogo KEV de CISA (última alta: 20 de octubre)",[55,114,115],{},"Catálogo KEV de CISA, consultado el 22 oct",[12,117,118],{},"La gravedad no coincide entre fuentes: Palo Alto da 8.7 (CVSS 4.0, urgencia \"moderada\") para sus equipos, el aviso de PHP habla de 9.2 y algunos medios citan 9.8. Lo que importa: no se necesita iniciar sesión y el ataque es por red.",[29,120,122],{"id":121},"por-qué-el-firewall-es-el-caso-más-incómodo","Por qué el firewall es el caso más incómodo",[12,124,125],{},"Un servidor web se actualiza en una tarde. Un firewall, un conmutador telefónico o un balanceador traen PHP dentro del firmware, y solo el fabricante puede corregirlo con una versión nueva. Mientras tanto, el equipo que protege tu red tiene una puerta abierta en su propia consola.",[12,127,128,129,133],{},"Palo Alto lo dice claro en su aviso: el riesgo más alto es cuando la interfaz de administración es accesible desde internet. Es exactamente el mismo punto débil que vimos hace ocho días con ",[23,130,132],{"href":131},"/blog/noticias/pan-os-cve-2026-0322-consola-firewall-explotada","la falla de PAN-OS explotada a través de la consola",". Si esa consola ya estaba cerrada a internet desde entonces, hoy tu exposición es mucho menor.",[135,136,139],"callout",{"icon":137,"title":138},"i-lucide-shield-check","Lo que sí puedes hacer hoy en un Palo Alto",[12,140,141],{},"El aviso pide limitar la administración a direcciones internas de confianza. Si tienes suscripción de Threat Prevention, activa las firmas 543004, 97622, 97623, 97624 y 97625 (requieren contenido 9162 o posterior). Con Advanced Threat Prevention en PAN-OS 12.2.4 o posterior, la firma 543004 ya protegía desde la noche del 20 de octubre.",[143,144],"ad-banner",{},[29,146,148],{"id":147},"otros-equipos-que-traen-php-por-dentro","Otros equipos que traen PHP por dentro",[12,150,151],{},"Palo Alto es el único gran fabricante de seguridad que, al cierre de esta nota, había publicado un aviso formal con productos afectados. Para el resto, la mejor referencia pública es el rastreador independiente phpvulnerabilities.app, que no está afiliado a PHP ni a ningún fabricante y que actualizó su lista el 22 de octubre. Tómalo como guía para revisar, no como veredicto:",[34,153,154,164],{},[37,155,156],{},[40,157,158,161],{},[43,159,160],{},"Equipo",[43,162,163],{},"Estado según el rastreador (22 oct)",[50,165,166,174,182,189,197,204,212,220],{},[40,167,168,171],{},[55,169,170],{},"FreePBX / PBXact (Sangoma)",[55,172,173],{},"Afectado, sin corrección del fabricante",[40,175,176,179],{},[55,177,178],{},"F5 BIG-IP (utilidad de configuración)",[55,180,181],{},"Afectado, sin corrección",[40,183,184,187],{},[55,185,186],{},"Citrix NetScaler ADC / Gateway",[55,188,181],{},[40,190,191,194],{},[55,192,193],{},"Fortinet FortiADC, FortiDDoS, FortiSIEM, FortiSOAR",[55,195,196],{},"Sin corrección, en investigación",[40,198,199,202],{},[55,200,201],{},"Trend Micro Apex One / Apex Central",[55,203,181],{},[40,205,206,209],{},[55,207,208],{},"Synology DSM (Web Station), QNAP QTS",[55,210,211],{},"Sin aviso del fabricante",[40,213,214,217],{},[55,215,216],{},"pfSense y OPNsense",[55,218,219],{},"Ya corregidos (PHP 8.5.12 / 8.3.36)",[40,221,222,225],{},[55,223,224],{},"GLPI (Docker), mailcow, Coolify",[55,226,227],{},"Ya corregidos",[12,229,230,231,235,236,240],{},"FreePBX merece atención especial en México, porque es la base de muchos conmutadores IP de PyMEs, igual que ",[23,232,234],{"href":233},"/blog/noticias/issabel-pbx-cve-2026-89026-conmutador-voip","Issabel, que ya tuvo su propia falla crítica en septiembre",". Y en los NAS se repite la historia de esta semana con ",[23,237,239],{"href":238},"/blog/noticias/plex2shell-plex-media-server-explotado-nas","Plex Media Server explotado en equipos domésticos y de oficina",": el aparato que \"nadie toca\" es el que termina expuesto.",[29,242,244],{"id":243},"qué-hacer-hoy","Qué hacer hoy",[246,247,248,255,266,272,278,284,290],"ol",{},[249,250,251,254],"li",{},[15,252,253],{},"Haz la lista de equipos con consola web."," Firewall, conmutador, NAS, balanceador, VPN, consola de antivirus.",[249,256,257,260,261,265],{},[15,258,259],{},"Comprueba cuáles se ven desde internet."," Desde fuera de la oficina (con datos del celular), intenta abrir la IP pública en los puertos de administración. Nuestro tutorial para ",[23,262,264],{"href":263},"/blog/tutorial/escanear-vulnerabilidades-red","escanear vulnerabilidades en tu red"," explica cómo hacerlo con herramientas gratuitas.",[249,267,268,271],{},[15,269,270],{},"Cierra las consolas a internet."," Administra solo desde la red interna o a través de una VPN. Es la mitigación que recomienda Palo Alto y la más efectiva para cualquier marca mientras llega el parche.",[249,273,274,277],{},[15,275,276],{},"Activa las firmas de prevención."," Si tu firewall tiene suscripción de prevención de amenazas, actualiza el contenido y confirma que las firmas de PHP2Shell estén en modo bloqueo, no solo alerta.",[249,279,280,283],{},[15,281,282],{},"Suscríbete a los avisos de cada fabricante."," Palo Alto marca la corrección como \"TBD\"; cuando salga, instálala en la siguiente ventana de mantenimiento, no en la del próximo mes.",[249,285,286,289],{},[15,287,288],{},"Revisa los registros de acceso a la consola desde el 17 de octubre."," Inicios de sesión desde países o IP que no reconoces, usuarios administradores nuevos o cambios de configuración que nadie pidió son motivo para aislar el equipo y pedir apoyo.",[249,291,292,295],{},[15,293,294],{},"No olvides tus servidores."," Lo de ayer sigue vigente: actualizar PHP y reiniciar PHP-FPM o Apache.",[12,297,298,299,303,304,308,309,313],{},"Cada falla grande en software común termina viviendo dentro de aparatos que no se actualizan solos: pasó con Log4j y hoy pasa con PHP. Ya lo vimos este mes en ",[23,300,302],{"href":301},"/blog/noticias/netscaler-cve-2026-107406-saml-rce","NetScaler",". Si no tienes claro qué equipos de tu red tienen la consola expuesta, en ",[23,305,307],{"href":306},"/servicios/ciberseguridad","ciberseguridad"," y ",[23,310,312],{"href":311},"/servicios/redes","redes"," hacemos el inventario, cerramos accesos y damos seguimiento a cada aviso hasta que el parche quede instalado.",{"title":315,"searchDepth":316,"depth":317,"links":318},"",2,3,[319,320,321,322],{"id":31,"depth":316,"text":32},{"id":121,"depth":316,"text":122},{"id":147,"depth":316,"text":148},{"id":243,"depth":316,"text":244},"noticias",{"title":325,"description":326,"label":327,"to":306,"icon":328},"¿No sabes qué equipos de tu red traen PHP por dentro?","Revisamos tus firewalls, conmutadores, NAS y balanceadores, cerramos las consolas expuestas a internet y te avisamos en cuanto cada fabricante publique su parche.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-22","Palo Alto confirmó que PAN-OS y Panorama son vulnerables a PHP2Shell y aún no hay versión corregida. Qué equipos con PHP incluido revisar hoy y cómo cuidarlos.",false,"md",[334,337,340,343],{"question":335,"answer":336},"¿Mi firewall Palo Alto es vulnerable a PHP2Shell?","Sí, si corre PAN-OS 10.2, 11.1, 11.2, 12.1 o 12.2, o si usas Panorama: el aviso de Palo Alto del 21 de octubre de 2026 los marca afectados en todas sus compilaciones y sin versión corregida (fecha estimada 'TBD'). La falla está en la consola web de administración y en la API XML, no en el portal ni en el gateway de GlobalProtect. El riesgo más alto es cuando esa consola es accesible desde internet.",{"question":338,"answer":339},"¿Actualizar PHP en mis servidores protege también al firewall o al conmutador?","No. Los equipos tipo appliance traen su propia copia de PHP dentro del firmware, y solo el fabricante puede cambiarla. Actualizar PHP en tus servidores web protege tus sitios, pero el firewall, el conmutador o el balanceador quedan igual hasta que su fabricante publique firmware corregido.",{"question":341,"answer":342},"¿Ya hay ataques reales?","Según la cronología de Help Net Security, Amazon detectó en su red de señuelos un intento de explotación el 17 de octubre, cuatro días antes de que se hiciera pública la falla. Palo Alto dice que no conoce explotación contra sus productos. Al 22 de octubre, PHP2Shell no aparecía en el catálogo de vulnerabilidades explotadas de CISA, cuya última actualización era del 20 de octubre.",{"question":344,"answer":345},"¿Qué hago si mi equipo no tiene parche todavía?","Quita de internet la consola de administración y déjala accesible solo desde la red interna o una VPN, activa las firmas de prevención que publique el fabricante y revisa los registros de acceso. Es lo mismo que recomienda Palo Alto mientras no exista versión corregida.",null,"/images/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido.jpg","Rack con firewall, conmutador telefónico y NAS marcados con una alerta roja de código PHP vulnerable","informational",[351,352,353,354],"php2shell pan-os","cve-2026-109618 palo alto","php2shell freepbx","php2shell firewall sin parche",{},true,"/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido","2026-10-22T15:30:00-06:00",5,{"title":5,"description":330},"PHP2Shell: firewalls y conmutadores sin parche","blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido",[307,364,365,366],"firewalls","vulnerabilidades","parches","HRroAncL1TSg2iyeHhly4MzvnVdnUEBYXXIlm-050yw",{"path":369,"title":370},"/blog/noticias/senado-comisiones-aprueban-ley-ingresos-isr-2027-sin-cambios","Comisiones del Senado aprueban sin cambios la Ley de Ingresos, el ISR y Derechos 2027; el pleno votaría el martes 27",[372,378,384],{"path":373,"title":374,"description":375,"date":329,"category":323,"image":376,"imageAlt":377,"readingTime":359},"/blog/noticias/windows-server-2012-r2-sin-parches-10-noviembre","Windows Server 2012 y 2012 R2 ya recibieron su último parche: el 10 de noviembre llega el primer mes sin protección","Las actualizaciones extendidas de Windows Server 2012 y 2012 R2 terminaron el 13 de octubre de 2026. No hay cuarto año. Qué riesgo corres y cómo contenerlo.","/images/blog/noticias/windows-server-2012-r2-sin-parches-10-noviembre.jpg","Rack de servidores con una etiqueta de Windows Server 2012 R2 y un calendario marcado en el 10 de noviembre",{"path":379,"title":380,"description":381,"date":329,"category":323,"image":382,"imageAlt":383,"readingTime":359},"/blog/noticias/openai-gpt-4o-mini-gpt-4-1-apagado-14-enero","OpenAI ya puso fecha a gpt-4o-mini y gpt-4.1: el 14 de enero salen de la API, y el reemplazo cuesta menos","OpenAI retira de su API gpt-4o, gpt-4o-mini, gpt-4.1 y gpt-4.1-mini el 14 de enero de 2027. El reemplazo es gpt-6-luna. Qué revisar en tus bots y flujos.","/images/blog/noticias/openai-gpt-4o-mini-gpt-4-1-apagado-14-enero.jpg","Calendario con el 14 de enero marcado junto a un chatbot conectado a la API de OpenAI",{"path":385,"title":386,"description":387,"date":329,"category":323,"image":388,"imageAlt":389,"readingTime":359},"/blog/noticias/imss-modalidad-40-tope-salario-sin-retroactivo","IMSS pone tope a la Modalidad 40 desde hoy: último salario más una UMA y sin pagos retroactivos","Desde el 22 de octubre de 2026, quien entre a la Modalidad 40 del IMSS cotiza con su último salario más una UMA y sin retroactivo. Qué hacer en tu empresa.","/images/blog/noticias/imss-modalidad-40-tope-salario-sin-retroactivo.jpg","Calculadora y expediente de pensión con un sello que marca el nuevo tope de cotización de la Modalidad 40",{"id":391,"avatar":346,"bio":392,"entityType":393,"expertise":394,"extension":395,"meta":396,"name":6,"role":397,"slug":398,"social":346,"stem":399,"url":7,"__hash__":400},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]