Investigadores descubrieron un ataque que explotó dos vulnerabilidades en AhsayCBS para ejecutar comandos y desplegar implantes de Python y mineros de criptomonedas. Los atacantes utilizaron diversas webshells y herramientas de acceso remoto para comprometer servidores de respaldo y robar credenciales críticas. Actualmente, Ahsay Backup ya ha lanzado los parches necesarios para corregir estas fallas de seguridad.

Se detectó un malware en dispositivos F5 BIG-IP APM que oculta una web shell directamente en la memoria, evitando así la detección mediante el escaneo de archivos en disco. Esta amenaza aprovecha la vulnerabilidad CVE-2025-53521 para ejecutar código remoto y permite a los atacantes controlar el sistema. Se recomienda aplicar los parches disponibles y realizar verificaciones de integridad, ya que la actualización por sí sola podría no eliminar la infección existente.

El Centro de Ciberseguridad de Australia (ACSC) advirtió sobre una campaña global que explota vulnerabilidades en sistemas de gestión de contenidos (CMS) y plugins, como WordPress y Joomla. Los atacantes instalan "webshells" para obtener acceso persistente, robar credenciales y desplegar malware, posiblemente utilizando IA para escalar los ataques. Se recomienda a los administradores actualizar sus sistemas, eliminar componentes no utilizados y monitorear la creación de archivos no autorizados.

Una sofisticada campaña de ataques aprovecha una vulnerabilidad crítica en FreePBX para desplegar una webshell persistente denominada "EncystPHP", permitiendo a los actores de amenazas obtener control administrativo completo sobre sistemas VoIP comprometidos. La campaña, iniciada a principios de diciembre de 2025, explota la CVE-2025-64328, una falla de inyección de comandos post-autenticación en el Endpoint Manager de FreePBX. 

 Una campaña reciente ha reutilizado la herramienta legítima Nezha para comprometer servidores web a través de vulnerabilidades en aplicaciones expuestas. El ataque desplegó una cadena avanzada que integra web shells, AntSword y Ghost RAT para obtener persistencia y control remoto.

 Un grupo de investigadores de WatchTowr Labs, en colaboración con The Shadowserver Foundation, logró identificar y neutralizar más de 4,000 puertas traseras web (web shells) activas pero abandonadas. Estos sistemas, que todavía mantenían comunicación con su infraestructura de comando y control (C2), fueron desactivados al registrar los dominios caducados utilizados por los atacantes para controlarlos.

El grupo de cibercriminales Magecart está distribuyendo ‘shells’ web PHP disfrazadas de ‘favicons’ para mantener acceso a los servidores comprometidos e inyectar ‘skimmers’ desarrollados en JavaScript con el objetivo de robar información bancaria de los usuarios.

Investigadores de ESET han descubierto más de una decena de grupos APT explotando las vulnerabilidades de Microsoft Exchange con el objetivo de comprometer servidores de correo. En total, se han descubierto más de 5.000 servidores de correo repartidos por todo el mundo que han sido afectados por este incidente, por lo que la amenaza no se reduce al grupo Chino Hafnium, como parecía en un principio.

Microsoft ha lanzado parches de emergencia para abordar cuatro fallos de seguridad no reveladas anteriormente en Exchange Server que, según dice, están siendo explotadas activamente por un nuevo actor de amenazas patrocinado por el estado chino con el objetivo de perpetrar el robo de datos. El ataque permite ejecución remota de código sin autenticación previa. Las vulnerabilidades afectan a Microsoft Exchange Server versiones: 2010, 2013, 2016 y 2019. Microsoft Exchange Server 2010 también recibirá el parche a pesar de que está fuera de soporte.

FPM (FastCGI Process Manager) es una implementación alternativa al PHP FastCGI con algunas características adicionales (la mayoría) útiles para sitios web con mucho tráfico. Deshabilitar exponer la versión de PHP, la subida de ficheros, la llamada de URL's externas, las inclusiones fuera del directorio del trabajo,  Veremos también cómo deshabilitar funciones potencialmente peligrosas en PHP. Y no sólo las más habituales (exec ,passthru, shell_exec, system, proc_open, popen, curl_exec, curl_multi_exec, parse_ini_file, show_source). Funciones utilizadas en web shells de php muy conocidas como: PHP-Reverse-Shell Pentestmonkey , Weevely o phpsploit (webshell).