La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha añadido a su catálogo de vulnerabilidades con explotación activa dos fallos críticos de PHP agrupados bajo la denominación PHP2Shell. Se trata de CVE-2026-109618 y CVE-2026-109619, que atacantes sin privilegios pueden aprovechar en ataques de alta complejidad para conseguir ejecución remota de código (RCE) en sistemas que no hayan sido actualizados.
El equipo de seguridad de PHP publicó los parches correspondientes el miércoles 21 de octubre, un día después de instar a los responsables de seguridad a instalar las actualizaciones en cuanto estuvieran disponibles. Aunque antes de la publicación de los parches se filtraron detalles sobre PHP2Shell —incluidos los identificadores CVE y las medidas de mitigación compartidas con operadores de infraestructuras críticas— y se difundieron algunas pruebas de concepto, el equipo de PHP aseguró que ninguna de ellas era funcional.
Varias empresas de ciberseguridad, entre ellas Cloudflare, Amazon, Hadrian, watchTowr, Previdian y Patchstack, detectaron numerosos intentos de explotación antes de la divulgación pública, aunque todos ellos fueron catalogados como infructuosos. Los investigadores de Amazon Threat Intelligence señalaron además que los atacantes comenzaron a dirigirse contra las vulnerabilidades PHP2Shell cuatro días antes de que se publicaran los parches.
Agencias federales obligadas a parchear antes del jueves
CISA añadió las vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas (KEV) el lunes y ordenó a las agencias federales del poder ejecutivo civil (FCEB) proteger sus sistemas antes del jueves, conforme a la Directiva Operativa Vinculante 26-04. «Este tipo de vulnerabilidades es un vector de ataque frecuente para actores cibernéticos maliciosos y supone riesgos significativos para la empresa federal», advirtió la agencia. Asimismo, aunque la directiva solo se aplica a las agencias FCEB, CISA animó a todas las organizaciones a adoptar una gestión de vulnerabilidades basada en riesgos y a priorizar la remediación de los fallos incluidos en el catálogo KEV.
CISA aún no ha ofrecido más detalles sobre los ataques en curso contra PHP2Shell. No obstante, Adel Karimi, responsable de detección y respuesta de Perplexity, confirmó durante el fin de semana la primera explotación real después de que sus honeypots registraran evidencias de ejecución remota de código contra una instalación de Apache mod_php con PHP 8.4.26. El viernes, el equipo de seguridad de PHP también compartió medidas de mitigación para un nuevo fallo de RCE (CVE-2026-115560) sin parche disponible, explotable contra sistemas con «una combinación inusual de configuración y código de aplicación».
PHP impulsa aproximadamente el 70 % de todos los sitios web. Según estimaciones de VirusTotal, hay más de 5,1 millones de servidores PHP expuestos en internet y alrededor de 3,8 millones de instancias con al menos un puerto abierto a ataques.
Con credenciales válidas, solo se bloquea el 37 % de las acciones
Las puntuaciones globales de prevención pueden ocultar lo que ocurre tras el acceso inicial. Cuando los atacantes utilizan credenciales válidas, la capacidad de prevención cae drásticamente. El Informe Blue 2026 mide las defensas técnica por técnica a partir de 338 millones de simulaciones realizadas en entornos de producción de clientes.
Deja una respuesta