PHP publica medidas de mitigación para una nueva vulnerabilidad RCE sin parche

Medidas de mitigación para CVE-2026-115560

El equipo de seguridad de PHP ha difundido recomendaciones para contener una nueva vulnerabilidad de ejecución remota de código (RCE) que aún no cuenta con un parche. Según el aviso publicado el viernes, el fallo, identificado como CVE-2026-115560, solo puede explotarse en entornos que presenten una combinación poco habitual de configuración y código de aplicación.

PHP es un lenguaje de desarrollo web de código abierto presente en casi el 70 % de los sitios de Internet. De acuerdo con estimaciones de VirusTotal, más de 5,1 millones de servidores PHP están expuestos en línea y alrededor de 3,8 millones tienen al menos un puerto abierto a posibles ataques.

Una aplicación debe establecer session.serialize_handler en php_binary o php_serialize en su configuración y luego cambiarlo a php en tiempo de ejecución con ini_set() antes de llamar a session_start(). El progreso de carga de sesión también debe seguir habilitado.

El equipo de PHP explicó que las aplicaciones que nunca modifican el manejador de serialización en tiempo de ejecución pueden mantener la función activada. Dado que esa configuración es poco probable en la práctica, el fallo se gestionará dentro del ciclo habitual de publicación y se emitirá un aviso completo sobre CVE-2026-115560 con la próxima versión.

Mientras no exista un parche, los desarrolladores recomiendan establecer session.upload_progress.enabled=0. Añadieron que, si esa medida ya se aplicó el miércoles, debe mantenerse y no se requiere ninguna acción adicional. Esa misma jornada se parchearon otras dos vulnerabilidades críticas de RCE (CVE-2026-109618 y CVE-2026-109619), agrupadas bajo el nombre PHP2Shell.

Las fallas PHP2Shell ya son objeto de ataques

El equipo de seguridad de PHP corrigió las vulnerabilidades PHP2Shell un día después de pedir a los administradores que se prepararan para instalar las actualizaciones en cuanto estuvieran disponibles. Aunque se publicó código de prueba de concepto (PoC) antes de que los parches vieran la luz, el equipo aseguró que ninguno era funcional.

Sin embargo, varias empresas de ciberseguridad, entre ellas Cloudflare, watchTowr, Previdian, Hadrian y Patchstack, detectaron intentos de explotación fallidos antes de la divulgación pública, después de que se filtraran en línea detalles sobre PHP2Shell, incluidos los identificadores CVE y las recomendaciones de mitigación entregadas a algunos proveedores de infraestructura crítica.

Los investigadores de Amazon Threat Intelligence también señalaron que los atacantes comenzaron a apuntar a las vulnerabilidades PHP2Shell cuatro días antes de que se publicaran los parches el miércoles.

Los payloads reales y las elecciones de infraestructura de anonimización variaron, lo que sugiere que fueron varios actores. El análisis técnico continúa y no está claro si alguno de estos intentos habría tenido éxito en sistemas reales.

Así lo afirmó CJ Moses, director de seguridad de la información de AWS, quien añadió: "PHP2Shell está experimentando ahora amplios intentos de explotación en el mundo real", aunque no se sabe cuántos ataques, si alguno, han prosperado.

El equipo de Threat Research and Cyber Engineering (TRACE) de Dataminr indicó en un informe del jueves que "la actividad observada desde la divulgación de la vulnerabilidad sigue limitada a escaneos, fingerprinting y uso de exploits no funcionales, sin compromisos conocidos", pero advirtió que "solo es cuestión de tiempo que aparezcan PoC funcionales o actividad de explotación exitosa".

El riesgo persiste tras el acceso inicial

Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la capacidad de prevención cae drásticamente. El informe Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.