VULNERABILIDAD
CISA confirma explotación activa de las fallas PHP2Shell en PHP: millones de intentos y servidores expuestos
La agencia estadounidense sumó las dos vulnerabilidades críticas de PHP a su catálogo de fallas explotadas y dio plazo a agencias federales hasta el 29 de octubre de 2026. Cloudflare reporta millones de intentos.
La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) confirmó la explotación activa de dos vulnerabilidades críticas de PHP conocidas en conjunto como PHP2Shell, al incorporarlas a su catálogo de fallas explotadas. Se trata de CVE-2026-109618, una corrupción por agotamiento de memoria, y CVE-2026-109619, un problema de estado interno obsoleto en las solicitudes; ambas permiten ejecución remota de código sin autenticación y fueron calificadas con 9,2 en el sistema CVSS.
Las fallas fueron corregidas en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de PHP, publicadas el 21 de octubre de 2026. CISA fijó el 29 de octubre de 2026 como plazo para que las agencias federales apliquen las correcciones, en el marco de la directiva operativa vinculante 26-04.
El investigador Adel Karimi, responsable de detección y respuesta de Perplexity, confirmó el 24 de octubre de 2026 ejecución remota de código exitosa contra sistemas trampa que corrían PHP 8.4.26 sobre Apache con mod_php. Según describió, la respuesta incluyó un volcado de cookie decodificado de 800 KiB y una dirección de función derivada de ese volcado que aparece en el payload de ejecución posterior.
Cloudflare reportó millones de intentos de explotación en su red tras la divulgación técnica de las fallas, y aplicó protecciones en su firewall de aplicaciones web. La empresa aclaró que se trata de intentos observados en su infraestructura y no de millones de servidores comprometidos. Otras firmas de seguridad también detectaron intentos masivos antes de la divulgación pública, aunque los calificaron como infructuosos.
Qué se sabe
ACREDITADO
- CISA confirmó la explotación activa de CVE-2026-109618 y CVE-2026-109619 al sumarlas a su catálogo de vulnerabilidades explotadas.
- Las fallas fueron corregidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026.
- Perplexity confirmó ejecución remota de código exitosa contra sistemas trampa el 24 de octubre de 2026.
- Cloudflare reportó millones de intentos de explotación en su red tras la divulgación de las fallas.
- CISA dio plazo hasta el 29 de octubre de 2026 a las agencias federales para aplicar las correcciones.
SIN VERIFICAR O ABIERTO
- CISA no compartió detalles adicionales sobre los ataques en curso que aprovechan PHP2Shell.
- No se conoce la cantidad de sistemas efectivamente comprometidos; los millones reportados por Cloudflare son intentos, no servidores vulnerados.
- El equipo de seguridad de PHP sostuvo que las pruebas de concepto publicadas antes de los parches no eran funcionales, aunque las fallas ya se explotaban.
- No se identificó públicamente a los actores de amenazas detrás de la explotación.
Contexto
PHP es un lenguaje de scripting del lado del servidor presente en aproximadamente el 70% de los sitios web. Según estimaciones de Censys, más de 32,51 millones de servicios PHP seguían ejecutando una versión afectada, y datos de VirusTotal indican más de 5,1 millones de hosts PHP expuestos en línea, con alrededor de 3,8 millones con al menos un puerto abierto a ataques.
La divulgación de PHP2Shell generó una carrera entre administradores que deben actualizar servidores y operadores que buscan sistemas aún vulnerables. Investigadores de Amazon señalaron que los atacantes comenzaron a apuntar a las fallas cuatro días antes de que se publicaran los parches.
El 26 de octubre de 2026, la Fundación PHP también publicó compilaciones para Windows que corrigen CVE-2026-111497, una escritura fuera de límites en la biblioteca decodificadora Brotli, conocida como Broccoli2Shell, HTTP2Shell o Node2Shell, que afecta a Brotli 1.0.3 a 1.0.9, 1.1.0 y 1.2.0 y fue parcheada en 1.0.10, 1.1.1 y 1.2.1, además de proyectos como Node.js, Bun, Envoy Proxy, Istio, .NET y Python.
Qué hacer
- Actualizar PHP ya Aplicar las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 y verificar que la actualización alcance todas las instancias, incluidos contenedores y entornos de prueba.
- Revisar registros retrospectivos Buscar intentos de explotación desde el 21 de octubre de 2026. Si hay evidencia de ejecución no autorizada, tratar el servidor como comprometido y preservar los registros.
- Buscar persistencia El parche no elimina mecanismos que un atacante haya instalado antes de la corrección. Revisar cuentas, tareas programadas y archivos modificados.
- Proteger aplicaciones expuestas Usar un firewall de aplicaciones web y limitar la exposición pública de servicios PHP que no necesiten estar accesibles desde internet.
- Rotar credenciales Si se detectó acceso no autorizado, cambiar contraseñas y claves de la aplicación y de los servicios a los que tenía acceso.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
