VULNERABILIDAD
PHP2Shell: campaña sospechosa de Corea del Norte apunta a 216 servidores PHP sin parchear
Investigadores detectaron actividad vinculada a un grupo norcoreano contra hosts vulnerables a dos fallas críticas de PHP, y una explotación exitosa fue confirmada en un honeypot.
El equipo de seguridad de PHP publicó el 21 de octubre de 2026 parches de emergencia para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, ambas con 9.2 en la escala CVSS y agrupadas como PHP2Shell. Las fallas están en el motor del lenguaje, afectan a todas las versiones que procesan solicitudes web y permiten ejecutar código remoto sin autenticación mediante solicitudes HTTP especialmente diseñadas.
La firma Cyfirma informó que un grupo vinculado a Corea del Norte identificó 216 hosts que podrían seguir vulnerables a PHP2Shell. Según la empresa, los operadores se comunican por un canal privado de I2P que monitorea desde el 22 de octubre y el 24 de octubre reportaron que esos 216 equipos parecían sin parchear o solo parcialmente protegidos, y nombraron 21 nodos de escaneo.
Cyfirma indicó que los operadores revisaban los sistemas desde 21 máquinas comprometidas y, al momento de captar la conversación, habían chequeado cerca de un tercio de los objetivos. La firma les asigna una confianza moderada en un vínculo con la familia Lazarus por idioma, estilo operativo y viejas prácticas con web shells en PHP, aunque aclara que no tiene malware ni infraestructura compartida para probarlo.
En paralelo, Adel Karimi, responsable de detección y respuesta de Perplexity, registró en sus honeypots evidencia de ejecución remota de código exitosa contra una instalación de Apache con mod_php y PHP 8.4.26. El investigador de Expel Marcus Hutchins confirmó el hallazgo y lo calificó como la confirmación de explotación real más sólida vista hasta ahora.
Cómo ocurrió
- Confirmado
- Afirmado o sin verificar
- Grupo norcoreanoSospechoso, vínculo moderado con LazarusSin verificar.
- PHP2ShellDos fallas críticas en el motor de PHPConfirmado.
- Escaneo de hosts216 objetivos y 21 nodos de escaneoSin verificar.
- Explotación exitosaRCE contra Apache mod_php 8.4.26Confirmado.
- Servidores PHPHosts sin parchear o parcialmente mitigadosSin verificar.
Reconstrucción de DUPIN Noticias según lo informado. Los pasos punteados los afirma el atacante o no están verificados.
Qué se sabe
ACREDITADO
- El equipo de PHP publicó el 21 de octubre de 2026 parches de emergencia para CVE-2026-109618 y CVE-2026-109619, dos fallas críticas de ejecución remota de código.
- Un honeypot operado por Adel Karimi, de Perplexity, registró una explotación exitosa de PHP2Shell contra Apache con mod_php y PHP 8.4.26.
- El investigador de Expel Marcus Hutchins confirmó ese registro de explotación en el mundo real.
- Cyfirma monitoreó un canal privado de I2P donde operadores reportaron 216 hosts sin parchear o parcialmente mitigados y 21 nodos de escaneo.
SIN VERIFICAR O ABIERTO
- No está probado que la campaña sea estatal: Cyfirma evalúa con confianza moderada un vínculo con Lazarus y admite que un grupo criminal de habla coreana sin respaldo estatal encajaría igual.
- Cyfirma no identificó víctimas ni accedió a la lista completa de sistemas objetivo.
- Los operadores no anunciaron cuándo planean atacar y no se confirmó que hayan comprometido sistemas a gran escala.
- Antes del hallazgo de Karimi, las compañías que detectaron intentos los calificaron como fallidos, limitados a escaneo, fingerprinting y exploits no funcionales.
Contexto
El código vulnerable de PHP2Shell se remonta a PHP 5.4, de 2012, y reside en el motor del lenguaje más que en aplicaciones individuales, lo que amplía el universo de sistemas expuestos. El equipo de PHP había pedido a los administradores prepararse para instalar las actualizaciones apenas estuvieran disponibles.
Cyfirma le asigna a la campaña una puntuación de inminencia de 78 sobre 100: según su lectura, los operadores planean revisar los 216 hosts, elegir los objetivos más prometedores y decidir qué exploits públicos adaptar. La firma sostiene alta confianza en la existencia de la campaña, aunque no en su autoría estatal.
El 23 de octubre de 2026 el equipo de PHP difundió medidas de mitigación para otra vulnerabilidad de ejecución remota de código, CVE-2026-115560, que no tiene parche y solo es explotable en sistemas con una combinación inusual de configuración y código de aplicación. Hasta que haya actualización recomendó desactivar session.upload_progress.enabled.
Qué hacer
- Parchear PHP de inmediato Aplicar las actualizaciones de emergencia para CVE-2026-109618 y CVE-2026-109619 en todos los servidores que procesan solicitudes web, priorizando los expuestos a internet.
- Revisar web shells Buscar archivos y procesos sospechosos en servidores PHP, sobre todo si hay indicios de escaneo previo o de subida de archivos no autorizada.
- Mitigar la falla sin parche Ante CVE-2026-115560, desactivar session.upload_progress.enabled hasta que el equipo de PHP publique una actualización.
- Inventariar versiones expuestas Confirmar qué versiones de PHP corren en producción y qué hosts quedaron sin actualizar o con protección parcial, para cerrar la brecha.
- Vigilar accesos anómalos Monitorear solicitudes HTTP inusuales y actividad de red hacia servidores web, y revisar registros ante posibles intentos de explotación.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
