¿Tu CMS está actualizado? Enhorabuena: la vulnerabilidad está en el propio PHP y no requiere autenticación
Los administradores tendrán que buscar rastros de intrusión que podrían haberse producido incluso antes de la publicación de los parches.
La agencia estadounidense CISA declaró dos vulnerabilidades críticas de PHP2Shell como activamente explotadas. Tras varios días de escaneo masivo surgieron pruebas convincentes de la ejecución real de comandos en servidores vulnerables. A las agencias federales de Estados Unidos se les dio un plazo corto para mitigar la amenaza.
Se trata de CVE-2026-109618 y CVE-2026-109619, cada una con una puntuación de 9,2 en CVSS 4.0. Los fallos afectan la gestión de memoria dentro de PHP y, en determinadas condiciones, permiten ejecutar código de forma remota sin autenticación. Incluso un sitio con el sistema de gestión de contenidos completamente actualizado puede ser vulnerable, ya que el problema reside en el propio intérprete.
El 21 de octubre los desarrolladores de PHP publicaron parches de emergencia, sin embargo se registraron intentos de explotación desde el 17 de octubre. Inicialmente los investigadores observaron principalmente escaneos, fallos y exploits que no funcionaban. Observaciones recientes mostraron que los atacantes ya son capaces de ir más allá de la simple interrupción del servicio del servidor web.
El especialista de Perplexity Adel Karimi registró la ejecución exitosa de comandos en honeypots con Apache, el módulo mod_php y PHP 8.4.26. El 24 de octubre en tres de esos servidores se registraron 35 ejecuciones de shells a partir de dos direcciones IP. Durante el ataque los atacantes primero provocaron errores de memoria, luego extrajeron información sobre su contenido y después ejecutaron un comando.
En un caso el servidor devolvió cerca de 800 KiB de datos de cookies tras la decodificación. La información obtenida ayudó a calcular la dirección de una función, que luego se utilizó en la carga útil. El investigador Marcus Hutchins de Expel describió las observaciones como la confirmación más convincente de la explotación exitosa de PHP2Shell hasta ese momento.
El resultado no significa que los atacantes ya estén comprometiendo masivamente sitios ordinarios. Los honeypots funcionaban en una configuración especialmente elegida con un único proceso de trabajo de Apache. La fiabilidad de ese escenario en otras compilaciones de PHP y configuraciones aún no está establecida. Tampoco los investigadores detectaron la carga de código malicioso adicional tras la ejecución del comando.
Según la nota de actualización del catálogo de CISA, ambas vulnerabilidades se añadieron a la lista Known Exploited Vulnerabilities el 26 de octubre. Para las agencias civiles federales de Estados Unidos se fijó el plazo hasta el 29 de octubre. Sin embargo, el hecho de la inclusión en el catálogo no revela el número de servidores de producción realmente comprometidos, y los experimentos confirmados hasta ahora corresponden a sistemas señuelo.
Para protegerse se necesitan PHP 8.2.35, 8.3.36, 8.4.27 o 8.5.12 o paquetes del proveedor corregidos. Se recomienda a los administradores no solo actualizar y reiniciar los procesos de trabajo, sino también revisar los registros de solicitudes al menos desde el 17 de octubre, buscar errores de memoria atípicos, solicitudes POST sospechosas y procesos inesperados. Como muestra el análisis de PHP2Shell, un parche instalado no elimina las consecuencias de una posible intrusión previa.
Según la entrada de actualización del catálogo de CISA, ambas vulnerabilidades se añadieron a Known Exploited Vulnerabilities el 26 de octubre.