La Agencia de Seguridad e Infraestructura de Ciberseguridad de Estados Unidos (CISA) confirmó el lunes la explotación activa de los fallos PHP2Shell recientemente corregidos, al incluirlos en su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV).
Las vulnerabilidades de PHP, ambas calificadas con 9.2 en el sistema de puntuación CVSS, permiten la ejecución remota de código sin autenticación en las implementaciones afectadas:
- CVE-2026-109618: una vulnerabilidad de corrupción por agotamiento de memoria que permite la ejecución remota de código sin autenticación.
- CVE-2026-109619: una vulnerabilidad de estado interno de solicitud obsoleto que permite la ejecución remota de código sin autenticación.
La inclusión de ambos fallos en el catálogo KEV se produce después de que Adel Karimi, responsable de detección y respuesta en Perplexity, confirmara el 24 de octubre de 2026 casos exitosos de ejecución remota de código contra sistemas honeypot.
Ahora se trata de una ejecución remota de código confirmada con divulgación de memoria utilizable, no solo un bloqueo seguido de un proceso sospechoso. La respuesta entregó un volcado de cookies decodificado de 800 KiB, y una dirección de función derivada de ese volcado usando los desplazamientos del exploit público aparece en la carga útil de ejecución posterior.
La evidencia demuestra esta cadena en el perfil mod_php de un solo trabajador, intencionalmente favorable; no es una medición de la fiabilidad del exploit en otros números de trabajadores, compilaciones de PHP o aplicaciones.
Los problemas se han corregido en las versiones de PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. Las agencias federales tienen hasta el 29 de octubre de 2026 para aplicar las correcciones necesarias.
PHP, acrónimo de PHP: Hypertext Preprocessor, es un lenguaje de scripting del lado del servidor utilizado en aproximadamente el 70% de todos los sitios web de internet. Según estimaciones compartidas por Censys, más de 32,51 millones de servicios PHP siguen ejecutando una versión afectada.
La gravedad de las vulnerabilidades ha provocado numerosos avisos de proveedores de software y seguridad y de agencias gubernamentales de todo el mundo, entre ellos:
- ABB
- Arista Networks
- Belden
- Broadcom
- Canon
- Citrix
- Dell
- Dormakaba
- F5
- Hikvision
- HP
- HPE
- Hitachi Energy
- HMS Networks
- Huawei
- IBM
- Ivanti
- Johnson Controls
- Mitel
- Moxa
- NETGEAR
- Okta
- QNAP
- Rockwell Automation
- Ruckus Wireless
- Salesforce
- Schneider Electric
- Siemens (1), (2)
- SonicWall
- Splunk
- Synology
- Veeam
- Wibu-Systems
- WordPress
A fecha de 26 de octubre de 2026, la Fundación PHP también publicó las compilaciones para Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1 para corregir CVE-2026-111497, una vulnerabilidad de escritura fuera de límites en la biblioteca decodificadora Brotli que también podría provocar escalada de privilegios y ejecución remota de código sin autenticación.
La vulnerabilidad, también conocida como Broccoli2Shell, HTTP2Shell y Node2Shell, afecta a las versiones de Brotli 1.0.3 a 1.0.9, 1.1.0 y 1.2.0. Se ha corregido en las versiones 1.0.10, 1.1.1 y 1.2.1, junto con otros proyectos que incluyen la biblioteca C, como Node.js, Bun, Envoy Proxy, Istio, .NET y Python.
En las compilaciones de PHP para Windows, se puede acceder al decodificador vulnerable a través de la extensión cURL cuando la descompresión automática de respuestas HTTP está habilitada. Esto está deshabilitado por defecto en cURL, pero las aplicaciones y las bibliotecas de clientes HTTP pueden habilitarlo.
Deja una respuesta