Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls

Actores de amenazas vinculados a China han explotado una vulnerabilidad de día cero en VMware ESX para ocultar sus huellas. Además, se han detectado ataques que encadenan fallos en el kernel de Linux y PHP2Shell para comprometer firewalls de diversos fabricantes.

Actores de amenazas vinculados a China han explotado un día cero de VMware ESX para ocultar sus huellas y han encadenado fallos de PHP2Shell con el error del kernel de Linux "Fragnesia" para obtener privilegios de root en servidores y firewalls, según afirman investigadores de ciberseguridad.

Cisco también ha confirmado que los atacantes están provocando el fallo de sus firewalls mediante una vulnerabilidad recientemente revelada.

Uso de vulnerabilidades en VMware ESX

El grupo de APT chino Warp Panda ha aprovechado una vulnerabilidad de registro insuficiente (CVE-2026-41709) en el hipervisor de servidor físico VMware ESX de Broadcom como un día cero, según reveló un nuevo informe de CrowdStrike. El CVE-2026-41709 fue revelado públicamente y corregido por Broadcom en julio de 2026. Broadcom agradeció al investigador de CrowdStrike, Ian Barton, por informar sobre el problema.

CrowdStrike afirma ahora que la intrusión más reciente en la que observaron a Warp Panda explotando el CVE-2026-41709 ocurrió a principios de 2026, y que el fallo permitió al grupo reducir significativamente la visibilidad de las pistas de auditoría.

«WARP PANDA representa una amenaza de ciberespionaje sostenida y estratégicamente enfocada vinculada a China hacia entidades estadounidenses en múltiples sectores, incluido el sector legal. El adversario suele explotar dispositivos de borde orientados a Internet para obtener acceso inicial, para luego pivotar a entornos VMware vCenter para desplegar malware personalizado como BRICKSTORM y SharpStorm, manteniendo un acceso encubierto persistente durante periodos prolongados», explicó CrowdStrike.

«La concentración del sector legal en comunicaciones de clientes, materiales de fusión y adquisición, estrategia de litigio activo y acceso entre clientes lo convierte en un objetivo de recopilación de alto valor para un adversario dirigido por el estado que busca inteligencia con utilidad operativa posterior».

El grupo también ha estado accediendo a entornos de Microsoft 365 obteniendo tokens de sesión de usuario y, ocasionalmente, registrando un nuevo dispositivo de MFA en una cuenta comprometida.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) añadió el CVE-2026-41709 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 28 de octubre de 2026, y ha ordenado a las agencias civiles federales de EE. UU. que lo aborden antes del 11 de noviembre.

Explotación de firewalls y el kernel de Linux

El CVE-2026-46300 (también conocido como "Fragnesia"), una vulnerabilidad de escalada de privilegios locales en el kernel de Linux revelada en mayo de 2026, también fue añadido al catálogo KEV de CISA el miércoles. Dicho fallo debe ser abordado antes del 31 de octubre, según indica CISA, y viene con el requisito de triaje forense obligatorio por BOD 26-04.

«Esta vulnerabilidad puede ser encadenada con CVE-2026-109618 y CVE-2026-109619 para implantar webshells de PHP y ejecutar comandos como root», señaló la agencia.

Según la empresa de ciberseguridad Dream, esto es lo que hizo un actor de amenazas vinculado a China en una campaña asistida por IA que obtuvo privilegios de root en 25 firewalls, para luego implantar webshells y extraer credenciales de los controladores de dominio de Active Directory.\n "Los investigadores de Dream identificaron una operación de ataque completa que incluía una preparación personalizada de la cadena de explotación PHP2Shell (CVE-2026-109618/CVE-2026-109619) combinada con la escalada de privilegios del kernel Fragnesia (CVE-2026-46300), listas de objetivos, registros de explotación y aproximadamente 40 scripts de post-explotación personalizados", afirmó la compañía.

"Esto incluyó artefactos de una campaña que había obtenido privilegios de root en 25 servidores en Estados Unidos, Japón, Taiwán y Corea del Sur. Una vez obtenidos los privilegios, el atacante se centró en tres servidores específicos en un entorno afiliado al gobierno de EE. UU."

Dream no identificó al fabricante de los firewalls comprometidos. Sin embargo, ya sea por coincidencia o no, Palo Alto Networks actualizó hoy su aviso relacionado con PHP2Shell para indicar que "se ha observado una explotación activa dirigida a la interfaz de gestión de Palo Alto Networks expuesta a Internet".

El investigador de seguridad Kevin Beaumont también afirmó que está "al tanto de un grupo de ransomware que utiliza PHP2Shell contra firewalls de Palo Alto para obtener acceso inicial a [organizaciones]", y mencionó informes sobre un grupo estatal chino explotando vulnerabilidades de PHP2Shell para entrar en firewalls de Palo Alto Networks para realizar espionaje contra el gobierno de EE. UU.

Vulnerabilidades en dispositivos Cisco

Cisco confirmó hoy que una vulnerabilidad recién revelada (CVE-2026-76418) que afecta a sus firewalls "clásicos" y de próxima generación ha sido explotada para provocar el fallo de los dispositivos.\n "Esta vulnerabilidad se debe a errores de lógica cuando se configura la autenticación secundaria en un grupo de túnel. [Un atacante remoto, no autenticado] podría explotar esta vulnerabilidad enviando una solicitud especialmente elaborada al conectarse a la VPN de acceso remoto SSL. Una explotación exitosa podría permitir al atacante provocar que el dispositivo afectado se reinicie, dando lugar a una condición de denegación de servicio (DoS)", declaró la compañía, y añadió que su equipo de respuesta a incidentes de seguridad de productos tuvo conocimiento de la explotación activa de esta vulnerabilidad en octubre de 2026.

Dado que no hay soluciones alternativas disponibles, Cisco "recomienda encarecidamente" que los clientes actualicen a una versión de software corregida para mitigar el fallo.\n El CVE-2026-76418 aún no ha sido añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.

El panorama actual muestra una sofisticada combinación de técnicas de explotación de infraestructura crítica y software de virtualización por parte de actores estatales.",

Relacionado:
CISA advierte sobre la explotación de la vulnerabilidad Node2Shell
PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas
Grupo chino de espionaje explota un zero-day en BeyondTrust

Fuente:
https://www.helpnetsecurity.com/2026/10/29/php2shell-fragnesia-vmware-esx-zero-day/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.