Boletín Semanal de Ciberseguridad, 24-30 de octubre

Un actor de presunto nexo chino encadena PHP2Shell y Fragnesia para comprometer firewalls y una red gubernamental de EE. UU.

La firma israelí Dream ha documentado una operación atribuida a un actor de presunto nexo chino en la que encadenó la vulnerabilidades PHP2Shell, dos fallos de ejecución remota sin autenticación (CVE-2026-109618, CVSSv3 9.8, y CVE-2026-109619, CVSSv4 9.2 según PHP). Los combinó con Fragnesia, la escalada local de privilegios del kernel Linux CVE-2026-46300 (CVSSv3 7.8), para obtener root en firewalls de un gran fabricante no revelado. El exploit es un desarrollo propio y no público que abusa de session.upload_progress de PHP 8.0.30 en el servidor de gestión appweb del equipo.

El atacante identificó con FOFA unos 19.000 firewalls con interfaces de gestión expuestas y filtró 240 objetivos en EE. UU., Japón, Taiwán y Corea del Sur. Los atacó con un ejecutor automatizado que plantaba una webshell PHP y comprometió así 25 servidores. Tres de ellos pertenecen a un entorno afiliado al Gobierno estadounidense, donde el actor abrió un túnel SSH inverso hacia la red interna. Desde ahí atacó Active Directory: descifró la contraseña de la cuenta de servicio LDAP, lanzó password spraying e intentó crear cuentas backdoor.

Se recomienda no exponer a Internet las interfaces de gestión de los firewalls, aplicar los parches de cada fabricante y revisar la presencia de webshells, túneles SSH salientes y actividad anómala contra Active Directory.

Más info

Volt Typhoon explotó vulnerabilidades 0-day a través de la red de acceso Silent Train

Lumen Black Lotus Labs atribuye al grupo chino Volt Typhoon la red de acceso encubierta Silent Train, ya desarticulada, que estaba activa desde finales de 2023 y se componía de cadenas rotatorias de dispositivos SOHO, IoT y empresariales comprometidos. A través de ella, el grupo explotó como 0-day la vulnerabilidad de Versa Director CVE-2024-39717 (CVSSv3 7.2), las de N-able N-central CVE-2025-8875 y CVE-2025-8876 (CVSSv4 9.4 según fabricante ambas), la de Cisco Catalyst SD-WAN CVE-2026-20127 (CVSSv3 10.0) y la de Arista VeloCloud Orchestrator CVE-2026-16812 (CVSSv4 10 según fabricante).

Además, aprovechó un probable 0-day en Quest KACE que afectó a más de 30 víctimas. Las sesiones partían de VPS situados fuera de EE. UU. y saltaban por nodos SOHO e IoT extranjeros, como módems Intelbras usados solo como relay. Salían por equipos estadounidenses como Netgear Orbi o FortiGate, duraban unas cuatro horas de media y terminaban con la eliminación de todos los artefactos. Desde 2025, la red evolucionó a un modelo híbrido con túneles inversos basados en Chisel y FRP.

Se han identificado cientos de víctimas en operadores de telecomunicaciones, gobierno, defensa, comunicaciones satelitales e infraestructuras críticas de agua, energía y transporte.

Más info

Yoba: falsas apps de escritorio de ChatGPT y Claude cargan un loader que oculta su C2 en la foto de un canal de Telegram

Check Point Research ha documentado la campaña Yoba. Desde junio distribuye falsos clientes de escritorio de modelos inexistentes como GPT-5.6 Sol, GPT-6 Astra o Claude Opus a través de repositorios y GitHub Pages posicionados mediante SEO poisoning. Los ZIP incluyen ejecutables legítimos firmados por OpenAI y Anthropic, cuyas infraestructuras no fueron comprometidas, que cargan por DLL sideloading un winmm.dll malicioso (YobaDropper).

Este dropper evade sandboxes, excluye sistemas con teclados de países de la CEI y persiste mediante una tarea programada como SYSTEM que lanza YobaLoader. El loader descarga la imagen de perfil del canal t[.]me/yoba_fanclub y deriva de sus últimos 50 bytes un dominio DGA en dedyn[.]io. Después consulta su registro TXT vía DNS-over-HTTPS de Google y valida las órdenes con Ed25519, de modo que basta cambiar la foto para rotar el C2. En esta oleada el payload fue XMRig a través de Tor, pero YobaLoader admite cualquier PE o script PowerShell.

Se recomienda bloquear clientes de IA no aprobados y alertar sobre binarios firmados que cargan DLL desde rutas con permisos de escritura y sobre consultas DoH TXT inusuales.

Más info

Node2Shell: primera explotación real y parches de emergencia en .NET, Python y otros ecosistemas que integran Brotli

ELLIO ha registrado en su honeypot el primer intento de explotación real de Node2Shell (CVE-2026-111497, CVSSv4 9.2 según Google), también conocido como HTTP2Shell o Broccoli2Shell. El 26 de octubre llegó una única petición con un cuerpo Brotli de 23 MB dirigida a Node.js v24.22.0 sobre x86-64. Reutiliza la entrega del exploit público, pero incorpora una ROP chain original con tres gadgets no publicados, que planta su propia cadena /bin/sh e invoca execvp. El origen, 94.154.43.7, acumula etiquetas de explotación de PHP2Shell, sondeo de VPN GlobalProtect y FortiOS y escaneo de Kubernetes, un perfil propio de un operador de explotación masiva.

El alcance va más allá de Node.js porque el fallo está en la librería Brotli de Google (1.0.3 a 1.2.0, corregida en 1.0.10, 1.1.1 y 1.2.1). Microsoft publicó parches fuera de ciclo para .NET 8, 9, 10 y 11 RC3, Visual Studio 2019-2026 y PowerShell 7.4-7.6. El riesgo en .NET afecta a ASP.NET Core, HttpClient y System.IO.Compression solo cuando se habilita la descompresión Brotli, que no viene activa por defecto.

También están afectados los paquetes PyPI Brotli y brotlicffi, que urllib3, requests, httpx, aiohttp o Scrapy usan automáticamente, además de Bun anterior a 1.4.4, Envoy, Istio, la gema de Ruby y libbrotli en Debian y Alpine. DuckDB, Apache Arrow, p7zip o EDK II siguen sin parche, y CISA aún no lo incluye en el KEV.

Más info

◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →