Ir al contenido
Todos los artículos

· por NetProtector Security Team

PHP2Shell: vulnerabilidades críticas de PHP explotadas activamente

Dos vulnerabilidades críticas en el núcleo de PHP, denominadas conjuntamente «PHP2Shell», permiten a los atacantes ejecutar código en servidores web sin autenticación. Desde el 20 de octubre de 2026 hay parches disponibles, y ya se han detectado ataques reales. Si usted opera aplicaciones PHP, debe actuar ahora.

De qué se trata

Las vulnerabilidades afectadas son CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS 4.0 de 9.2. Se trata de errores de memoria en el núcleo de PHP, no en una aplicación o un framework concretos:

  • CVE-2026-109618: Si PHP interrumpe una solicitud por falta de memoria, los datos de la solicitud quedan solo parcialmente inicializados. Al limpiar la solicitud, se tratan igualmente como válidos, lo que permite a un atacante introducir memoria no válida.
  • CVE-2026-109619: El estado global de una solicitud sobrevive a la liberación de su memoria. Una solicitud posterior en el mismo worker lo lee antes de que se vuelva a establecer (use-after-free). Esto permite también leer la memoria del worker, incluidas contraseñas, tokens o claves de API que se encuentren allí en ese momento.

Están en riesgo todas las instalaciones que atienden solicitudes web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. La facilidad para explotar las vulnerabilidades depende de la configuración y de la aplicación; un vector de ataque confirmado pasa por la función Session Upload Progress.

Por qué es urgente

Las vulnerabilidades se dieron a conocer antes de lo previsto: circularon indicios en foros antes de la fecha del parche, y un vídeo con una prueba de concepto se publicó accidentalmente por adelantado. Entretanto, ya hay scripts de explotación disponibles públicamente, y varias empresas de seguridad observan explotación activa. PHP se ejecuta en una gran parte de todos los servidores web, por lo que los atacantes realizan escaneos a gran escala.

Qué debe hacer ahora

  1. Actualizar. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las distribuciones suelen retroportar las correcciones y mantener el número de versión anterior; lo determinante es el aviso de seguridad de su proveedor. PHP 8.1 y anteriores ya no reciben actualizaciones regulares; en ese caso, la única solución es migrar a una versión más reciente.
  2. Comprobar qué se está ejecutando realmente. php -v en la línea de comandos no muestra necesariamente la versión con la que trabaja el servidor web. Reinicie PHP-FPM o Apache tras la actualización y verifique la versión de los workers en ejecución.
  3. Proteger de forma provisional si no es posible actualizar de inmediato (el proyecto PHP subraya que solo la actualización cierra completamente las vulnerabilidades):
    • Establecer session.upload_progress.enabled = 0 en php.ini o en la configuración del pool de FPM y reiniciar los workers; hacerlo mediante ini_set() o .user.ini no es suficiente.
    • En PHP 8.5, establecer además fatal_error_backtraces = 0.
    • Ajustar de forma restrictiva los límites de tamaño y de carga (post_max_size, upload_max_filesize, max_file_uploads) y bloquear las solicitudes multipart en el proxy inverso donde no sean necesarias.
    • Siempre que sea posible, desconectar el servicio de Internet o filtrarlo con un sistema previo.
  4. Buscar indicios. Revise los registros del servidor web en busca de solicitudes multipart y de carga sospechosas, así como de caídas de workers de PHP desde mediados de octubre. Los ataques exitosos suelen manifestarse mediante archivos nuevos en el directorio web o conexiones salientes inusuales del servidor web.

Nuestra valoración

PHP2Shell es un ejemplo ilustrativo de lo rápido que se cierra la ventana de tiempo entre la divulgación y la explotación. Una gestión de parches al día sigue siendo la medida más importante. En el ámbito de la red, ayudan la prevención de intrusiones (Intrusion Prevention), que bloquea patrones de ataque conocidos en el perímetro, y una detección de anomalías que advierte cuando un servidor web establece de repente conexiones que nunca antes había establecido, un signo típico de un compromiso exitoso.

Fuentes