Explotación de PHP2Shell: vulnerabilidades de PHP activas

La explotación de PHP2Shell ya usa las vulnerabilidades de PHP en ataques reales. No es una alerta más. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, CISA, entró el lunes 26 de octubre los dos fallos en su catálogo de vulnerabilidades explotadas conocidas, KEV, y ordenó a las agencias civiles federales corregir sus sistemas antes del jueves 29 de octubre.

Ese cambio marca la diferencia con la semana pasada. El 21 de octubre el caso era un aviso grave con parches recién publicados y portales apagados por precaución. Ahora hay ejecución de código confirmada en servidores reales y una fecha límite oficial de tres días. Quien administre un sitio con PHP sin parchear ya no espera una prueba: trabaja contra un ataque en curso.

Explotación de PHP2Shell y vulnerabilidades de PHP: qué cambió el lunes

Los dos fallos llevan los códigos CVE-2026-109618 y CVE-2026-109619 y comparten una nota de 9,2 en la escala CVSS, el sistema que mide la gravedad de una vulnerabilidad. Ambos permiten ejecución remota de código, RCE, sin contraseña ni cuenta previa. Un atacante envía peticiones HTTP preparadas y logra que el servidor ejecute órdenes con los permisos del proceso web.

BleepingComputer informó que CISA fijó el plazo del jueves apoyada en la Directiva Operativa Vinculante 26-04. La agencia advirtió que este tipo de fallos es una vía de ataque frecuente y pidió a toda organización, no solo a las federales, priorizar su corrección dentro del catálogo KEV. El mensaje es corto y deja poco margen: parchear primero y discutir después.

The Register contó el giro con precisión. La semana pasada CISA avisó del peligro, pero aclaró que no había observado explotación exitosa en entornos reales. El lunes esa frase quedó atrás. La entrada en KEV exige evidencia de uso activo, y esa evidencia apareció durante el fin de semana en servidores trampa preparados para registrar intentos.

Adel Karimi, responsable de detección y respuesta en Perplexity, registró el 24 de octubre 35 ejecuciones remotas exitosas en tres servidores trampa con PHP 8.4.26 bajo Apache mod_php. Los ataques llegaron desde dos direcciones IP y combinaron agotamiento de memoria con lectura de memoria interna para llegar a la ejecución de código. Una sola instalación favorable bastó para demostrar que la técnica funciona fuera de un laboratorio.

Un código de 2012 que la inteligencia artificial ayudó a abrir

El código vulnerable data de PHP 5.4, lanzado en 2012, y vive en el motor del lenguaje, no en una aplicación concreta. Por eso el alcance es tan amplio: PHP mueve cerca del 70 % de los sitios con lenguaje de servidor, y datos de VirusTotal citados por BleepingComputer hablan de más de 5,1 millones de servidores PHP expuestos en internet, con unos 3,8 millones con al menos un puerto abierto. Censys contó 32,51 millones de servicios con versiones afectadas.

TechCrunch recordó el origen incómodo del caso. Los dos fallos se descubrieron hace dos años, pero la fundación que mantiene PHP entendió que no había una forma práctica de explotarlos y quedaron sin parche. A principios de este año, investigadores de la firma Calif encontraron esa forma con ayuda de un modelo de inteligencia artificial, capaz de encadenar debilidades que por separado parecían menores.

Los intentos llegaron antes del anuncio público. Amazon Threat Intelligence detectó actividad contra estos fallos el 17 de octubre, cuatro días antes de los parches. El equipo de seguridad de PHP publicó las versiones corregidas el 21 de octubre: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para ramas 8.1 y anteriores no hay versión corregida, y la orientación divulgada en medios del sector es retirarlas de internet hasta actualizar a una rama con arreglo.

Versiones corregidas y revisión de seguridad tras el parche

Parchear es el primer paso, no el único. Conviene comprobar la versión que carga el servidor web en producción, que puede diferir de la instalada en la consola, y revisar cualquier servidor que estuvo sin parche desde el 24 de octubre en busca de archivos PHP nuevos en la raíz web, tareas programadas extrañas y cuentas creadas sin explicación. Una consola remota plantada el fin de semana no desaparece por actualizar el martes.

Queda otro frente abierto. El viernes, el equipo de PHP compartió una mitigación para un fallo distinto, CVE-2026-115560, aún sin parche, explotable solo con una combinación poco común de configuración y código de la aplicación. La medida temporal pasa por fijar session.upload_progress.enabled en 0, desactivado, en el archivo php.ini. Es un detalle menor junto a PHP2Shell, pero confirma que la revisión del motor sigue sacando piezas sueltas.

Para un medio, una tienda o una oficina pequeña con un sitio en WordPress, la traducción práctica es directa. WordPress corre sobre PHP, y un alojamiento compartido con una versión vieja deja la puerta abierta aunque el tema y los complementos estén al día. El plazo federal vence el 29 de octubre, este jueves, y los atacantes ya demostraron que no necesitan esperar a que cada administrador encuentre un hueco en su agenda.

Fuente: TechCrunch

Foto: Yui Mok / PA Images vía TechCrunch

La entrada Explotación de PHP2Shell: vulnerabilidades de PHP activas se publicó primero en Tecnología Geek.