CISA confirma que PHP2Shell ya se explota en ataques reales y ordena parchear antes del jueves
Las dos vulnerabilidades permiten ejecutar código a distancia sin autenticación en servidores PHP sin parchear. La explotación exitosa ya fue confirmada por un investigador de Perplexity, y las agencias federales de EE. UU. tienen hasta el jueves para cerrar el agujero.
La agencia de ciberseguridad de Estados Unidos, CISA, añadió el lunes las dos vulnerabilidades críticas de PHP conocidas como PHP2Shell a su catálogo de vulnerabilidades explotadas conocidas (KEV) y ordenó a las agencias federales asegurar sus sistemas antes del jueves. Las dos fallas, CVE-2026-109618 y CVE-2026-109619, están calificadas con 9,2 sobre 10 por el equipo de seguridad de PHP y permiten a un atacante sin credenciales ejecutar código a distancia en servidores sin el parche del 21 de octubre.
La confirmación llegó desde los servidores señuelo de Adel Karimi, responsable de detección y respuesta en Perplexity: el 24 de octubre sus honeypots con Apache mod_php y PHP 8.4.26 registraron 35 shells en tres equipos, con ejecución remota completa. Karimi advierte que su configuración era deliberadamente favorable al ataque y no mide la fiabilidad del exploit en otros entornos, pero Marcus Hutchins, de Expel, lo calificó como la confirmación de mayor calidad vista hasta ahora. Trail of Bits afirmó además que sus exploits funcionan contra PHP 8.2 a 8.5 sin parche, con demostración sobre MediaWiki, Symfony, Laravel y phpBB.
Los intentos empezaron antes: Amazon Threat Intelligence detectó uno el 17 de octubre, cuatro días antes de los parches, y Cloudflare registró millones de intentos tras la divulgación. PHP publicó las correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, adelantando la salida tras filtrarse los detalles un día antes.
La escala lo convierte en urgencia general. PHP sostiene alrededor del 70% de los sitios web cuyo lenguaje de servidor se conoce —WordPress, Drupal, Joomla y Magento corren sobre él— y VirusTotal estima más de 5,1 millones de hosts PHP expuestos en internet, unos 3,8 millones con al menos un puerto abierto. Según el propio proyecto, toda instalación que atiende peticiones web está en riesgo, incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, con el riesgo más alto en mod_php.
La respuesta es actualizar ya a una versión corregida y reiniciar los procesos: el código vulnerable sigue en memoria hasta el reinicio, así que instalar el paquete sin reiniciar no cierra nada. Las ramas al final de su vida solo tienen correcciones mínimas en código fuente para PHP 7.4 a 8.1. Con explotación confirmada y millones de hosts expuestos, dejar este parche para el próximo ciclo ya no es defendible.
Comentarios
Sé el primero en comentar.
Sigue leyendo
Ciberseguridad
PostgreSQL tapa 52 agujeros de golpe: un fallo de 22 años permitía ejecutar código en el servidor
PostgreSQL acaba de cerrar 52 vulnerabilidades de una vez, 32 de ellas con nota 8,8. Una llevaba 22 años escondida en el código: ¿ya parcheaste tu base de datos?
Ciberseguridad
El firewall era la puerta: un zero-day de Check Point da root a los atacantes, planta el backdoor TSGA y borra servidores ESXi
Un zero-day de Check Point ya se explota para llegar a root, plantar un backdoor y borrar servidores ESXi. Hay parche de emergencia: ¿llegó a tu gateway?
Ciberseguridad
Operation TorNado: 354 detenidos en 14 países y 234 millones incautados en la mayor redada contra la dark web
354 detenidos, 5,7 toneladas de droga y 234 millones incautados: la mayor redada contra la dark web ya es oficial. ¿Creías que ahí nadie te encuentra?