El equipo de seguridad de PHP distribuirá hoy, 21 de octubre, a las 14:00 UTC, una versión de seguridad fuera del ciclo habitual para corregir dos vulnerabilidades críticas que su equipo de seguridad ha calificado con 9.2 en la escala CVSS v4.0, pero que todavía no ha detallado. Los investigadores de watchTowr afirman que ambos fallos permiten ejecución remota de código. Solo las cuatro ramas de PHP con soporte activo, de la 8.2 a la 8.5, podrán recibir la solución, y hasta ahora no se ha notificado explotación.
Una filtración precipitó el anuncio
El aviso anticipado llegó después de una filtración. El 20 de octubre, una publicación en Hacker News aseguraba que dos fallos de ejecución remota de código en PHP, valorados con CVSS 10.0 y presentes desde PHP 5, se revelarían el jueves 22 de octubre. El autor admitió que no tenía "ninguna prueba más allá de 'fuente: confía en mí'".
watchTowr respondió en X que la información filtrada era real, que ambos fallos estaban bajo embargo, que debía haberse esperado hasta el jueves y que no podía compartir más por el momento. Esa misma tarde, a las 19:33 UTC, PHP publicó su aviso con la versión prevista para el miércoles, un día antes de la fecha indicada por watchTowr. El aviso señala que PHP podría adelantar el lanzamiento "si los detalles de cualquiera de las vulnerabilidades se hacen públicos o si aparece evidencia de explotación activa".
Qué reveló y qué no reveló la filtración
La filtración incluía la existencia de los fallos, una puntuación, una fecha y dos identificadores CVE, pero no su funcionamiento. La cifra CVSS 10.0 procede de la filtración; la calificación de PHP es 9.2 en la versión 4.0 de la escala. Los identificadores que manejan los investigadores, CVE-2026-109618 y CVE-2026-109619, también figuraban en la publicación filtrada, aunque el aviso de PHP no menciona ninguno. Tampoco está confirmada la afirmación de que afecta a todas las versiones desde PHP 5: las preguntas frecuentes de watchTowr indican que ese alcance "no ha sido confirmado por un aviso oficial del proveedor" y que no se ha descrito ningún requisito de configuración o funcionalidad.
PHP sostiene que "los detalles completos, las versiones afectadas y las versiones corregidas se publicarán con la versión". Los investigadores han empezado a llamar a la pareja php2shell, un nombre acuñado por ellos y no por PHP.
Alcance de las correcciones y versiones afectadas
Sea cual sea el rango afectado, PHP solo publica correcciones para sus cuatro ramas con soporte y registra los cambios de cada una en su registro de cambios. Las versiones 8.2 y 8.3 reciben únicamente correcciones de seguridad, mientras que 8.4 y 8.5 están en soporte activo. Antes del lanzamiento, varios rastreadores, entre ellos el de Alpine Linux y el investigador de seguridad Kevin Beaumont, esperan que las correcciones lleguen como PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, la siguiente versión puntual de cada rama, aunque PHP no ha confirmado esas cifras.
Cualquier versión anterior, incluidas 8.1, 8.0, 7.x y 5.x, está al final de su vida útil y no recibirá corrección de PHP. Si los fallos alcanzan esas ramas, las instalaciones afectadas se quedarán sin parche del proveedor.
La empresa de seguridad Mallory contabilizó unos 884.000 hosts expuestos a internet cuyo banner HTTP indicaba una versión de PHP 8.1 o anterior al motor de búsqueda Shodan el 20 de octubre, el 59% de los aproximadamente 1,5 millones de hosts que declaraban alguna versión. El recuento se basa en banners, no en sistemas confirmados como afectados, y otros 740.000 hosts indicaban PHP sin especificar versión.
Preparación ante la falta de workaround
PHP no ha publicado ningún workaround. Hasta que llegue la versión, la preparación se reduce a seis pasos, la mayoría tomados de una publicación de respuesta rápida de Huntress, con el consejo de aislamiento de CERT-EU añadido:
- Inventariar cada instalación de PHP, incluidas las integradas en dispositivos de proveedores, software de Windows y paneles de control como cPanel y Plesk.
- Estar preparado para actualizar a las 14:00 UTC. Parchear primero los sistemas expuestos a internet y comprobar si la distribución de Linux y el proveedor de alojamiento ofrecen paquetes con backports.
- En una rama al final de su vida útil, actualizar, desconectar el sistema de internet o situarlo detrás de una VPN o un firewall de aplicaciones web mientras sea posible.
- Cuando no se pueda parchear de inmediato, CERT-EU aconseja "considerar aislar las aplicaciones expuestas a internet de las redes públicas hasta que haya una solución".
- Vigilar qué procesos inicia PHP. Generar alertas cuando php-fpm, php-cgi, httpd o apache2 lancen shells, intérpretes o herramientas de descarga. En servidores Linux sin detección de endpoints, el process-watcher de Florian Roth registra cada programa que inicia un proceso PHP, junto con su línea de comandos. Solo ve un programa después de que se haya iniciado y, en palabras de Roth, "no evita nada".
- Si se detecta algo, aislar el servidor, conservar los registros del servidor web y de PHP y buscar web shells, archivos nuevos en la raíz web, nuevas tareas cron, tareas programadas y cuentas.
Huntress afirmó que hasta el 20 de octubre no había visto explotación de los fallos en los entornos de sus socios, que no había creado ni reproducido una prueba de concepto y que no tenía conocimiento de código de explotación público. Las preguntas frecuentes de watchTowr indican que, a 21 de octubre, no se ha notificado explotación y que los fallos no figuran en el catálogo de vulnerabilidades explotadas conocidas de CISA.
A modo de comparación, cuando CVE-2024-4577, un fallo de PHP en modo CGI en Windows, se hizo público en junio de 2024, Akamai observó intentos de explotación contra sus servidores honeypot en menos de 24 horas.
El lanzamiento debería aclarar lo que el aviso ocultó: qué versiones están afectadas, qué parte de PHP está implicada, si un ataque requiere una forma concreta de ejecutar PHP, una configuración o un inicio de sesión, y cómo describe PHP los propios fallos. En el momento de redactar este artículo, PHP aún no había publicado las correcciones.
Deja una respuesta