Dos vulnerabilidades críticas de ejecución remota de código (RCE), identificadas como CVE-2026-109618 y CVE-2026-109619 y agrupadas bajo el nombre PHP2Shell, han sido explotadas con éxito en entornos reales, según ha confirmado la investigación de seguridad.
Adel Karimi, responsable de detección y respuesta en Perplexity, detectó la actividad maliciosa mediante honeypots que registraron evidencia de ejecución remota de código confirmada contra una instalación de Apache mod_php con PHP 8.4.26. Según explicó, se trata de un RCE confirmado con divulgación de memoria utilizable, y no solo de un bloqueo seguido de un proceso sospechoso. La respuesta incluyó un volcado de cookie decodificado de 800 KiB, y una dirección de función derivada de ese volcado mediante los offsets del exploit público aparece en la carga de ejecución posterior. El cliente confirmó la recepción completa de la respuesta y el comando de shell se ejecutó aproximadamente 1,6 ms después del último byte capturado de la solicitud de ejecución.
Marcus Hutchins, investigador de amenazas de Expel, corroboró los hallazgos de Karimi y los calificó como la confirmación de mayor calidad de explotación de PHP2Shell en entornos reales que ha visto hasta ahora, destacando el análisis técnico detallado de un intento exitoso contra Apache mod_php con PHP 8.4.26.
El equipo de seguridad de PHP corrigió las fallas de PHP2Shell el miércoles 21 de octubre de 2026, un día después de pedir a los administradores que se prepararan para instalar las actualizaciones de seguridad en cuanto estuvieran disponibles. Aunque antes de la publicación de los parches se filtraron detalles sobre estas vulnerabilidades, incluidos los identificadores CVE y recomendaciones de mitigación para algunos proveedores de infraestructura crítica, y se publicaron pruebas de concepto, el equipo de PHP afirmó que ninguna era funcional.
Varias empresas de ciberseguridad, entre ellas Cloudflare, Hadrian, watchTowr, Previdian y Patchstack, detectaron intentos de explotación antes de la divulgación pública, pero los clasificaron como fallidos. Los investigadores de Amazon Threat Intelligence también observaron ataques dirigidos a las vulnerabilidades PHP2Shell cuatro días antes de que se publicaran los parches; sin embargo, hasta los hallazgos de Karimi, la actividad maliciosa se limitaba a escaneos, huellas y uso de exploits no funcionales, sin compromisos conocidos, según el equipo TRACE de Dataminr.
El viernes, el equipo de seguridad de PHP también difundió medidas de mitigación para una nueva vulnerabilidad de RCE, registrada como CVE-2026-115560, que carece de parche y solo puede explotarse contra sistemas con una combinación inusual de configuración y código de aplicación. Hasta que se publique una corrección, los desarrolladores de PHP recomendaron a los administradores establecer session.upload_progress.enabled=0 para bloquear posibles ataques, una mitigación ya sugerida antes de los parches de PHP2Shell.
PHP (Hypertext Preprocessor) es un lenguaje de desarrollo web utilizado por cerca del 70 % de los sitios web de Internet. Según estimaciones recientes de VirusTotal, hay más de 5,1 millones de hosts PHP expuestos en línea y alrededor de 3,8 millones con al menos un puerto abierto a ataques.
Contexto adicional sobre prevención
Las puntuaciones generales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes emplean credenciales válidas, la prevención cae drásticamente. El informe Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones realizadas en entornos de producción de clientes.
Deja una respuesta