CISA confirma la explotación activa de vulnerabilidades críticas en PHP2Shell

La Agencia de Seguridad y Resiliencia de Infraestructura Cibernética de EE. UU. (CISA) confirmó el lunes que los atacantes están explotando activamente dos vulnerabilidades críticas en PHP, conocidas colectivamente como PHP2Shell. Estos fallos, que permiten la ejecución remota de código sin autenticación, han sido añadidos al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la agencia, lo que señala una necesidad urgente de remediar la situación en toda la infraestructura web global.

Qué ocurrió

Las dos vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen ambas una calificación de severidad de 9.2 en el Sistema Común de Puntuación de Vulnerabilidades (CVSS). La CVE-2026-109618 es un problema de corrupción por falta de memoria, mientras que la CVE-2026-109619 implica un manejo inadecuado del estado interno obsoleto de las solicitudes. Ambas permiten a los atacantes ejecutar código arbitrario en servidores afectados sin necesidad de autenticación previa.

La confirmación de la explotación activa sigue a la evidencia recopilada por Adel Karimi, líder de detección y respuesta en Perplexity. El 24 de octubre de 2026, Karimi observó intentos exitosos de ejecución remota de código contra sistemas señuelo (honeypots). Los ataques no solo causaban fallos; resultaban en la divulgación de memoria utilizable. Karimi señaló que la cadena de exploits entregaba un volcado decodificado de cookies de 800 KiB, con direcciones de función derivadas de ese volcado que aparecían en cargas útiles de ejecución posteriores. Esta evidencia demostró específicamente la cadena de ataque en un perfil mod_php de un solo trabajador, aunque la fiabilidad puede variar según diferentes configuraciones.

En respuesta a estas amenazas, el equipo de desarrollo de PHP lanzó versiones parcheadas el 21 de octubre de 2026. Se ha dado a las agencias federales hasta el 29 de octubre de 2026 para aplicar estos arreglos. Sin embargo, la escala de exposición sigue siendo masiva. PHP impulsa aproximadamente el 70% de todos los sitios web, y las estimaciones de Censys indican que más de 32,51 millones de servicios PHP siguen ejecutando versiones vulnerables.

Cómo funciona

Estas vulnerabilidades explotan problemas profundos en cómo PHP gestiona la memoria y los estados de solicitud. La CVE-2026-109618 aprovecha la corrupción por falta de memoria, una condición donde el software no maneja correctamente los errores de asignación de memoria, permitiendo a un atacante sobrescribir ubicaciones de memoria adyacentes. La CVE-2026-109619 explota datos obsoletos del estado interno de la solicitud, donde los datos residuales de solicitudes anteriores se manejan incorrectamente, creando una ventana para la inyección o ejecución.

El proceso de explotación implica enviar solicitudes manipuladas que provocan estos fallos de gestión de memoria. Una vez que ocurre la corrupción de memoria o la confusión de estado, el atacante puede inyectar código malicioso en el flujo de ejecución del servidor. En los casos observados, esto condujo al volcado de datos sensibles como cookies y a la derivación de direcciones de función, que luego se utilizan para estabilizar el exploit y mantener el acceso persistente. Esta técnica evade completamente los mecanismos de autenticación estándar, otorgando al atacante control total sobre el servidor comprometido.

Detalles clave

• IDs de Vulnerabilidad: CVE-2026-109618 (corrupción por falta de memoria) y CVE-2026-109619 (estado interno obsoleto de la solicitud).
• Severidad: Ambas vulnerabilidades están calificadas con 9.2 en la escala CVSS, indicando riesgo crítico.
• Versiones Parcheadas: Las correcciones están disponibles en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, lanzadas el 21 de octubre de 2026.
• Explotación Activa: Confirmada por el investigador de Perplexity Adel Karimi el 24 de octubre de 2026, mediante análisis de honeypots.
• Exposición: Se estima que más de 32,51 millones de servicios PHP están ejecutando versiones afectadas.
• Riesgo Adicional: Las compilaciones para Windows también enfrentan la CVE-2026-111497, una vulnerabilidad del decodificador Brotli corregida en actualizaciones recientes.

Por qué importa

Para ingenieros de software y líderes de TI, el uso generalizado de PHP significa que una parte significativa de la infraestructura backend de internet está actualmente en riesgo. La adición de estos fallos al catálogo KEV de la CISA es un fuerte indicador de que las agencias federales y las grandes empresas priorizarán el parcheo, pero el gran número de servicios expuestos sugiere que muchas organizaciones más pequeñas y sistemas heredados permanecen vulnerables. La capacidad de ejecutar código sin autenticación hace que estos fallos sean particularmente peligrosos, ya que no requieren credenciales robadas ni ingeniería social para iniciar un ataque.

La naturaleza técnica del exploit, que involucra corrupción de memoria y gestión de estado, destaca la complejidad de asegurar lenguajes de scripting del lado del servidor. También subraya la importancia de mantener los entornos de tiempo de ejecución actualizados. Con proveedores como WordPress, Drupal, Cisco e IBM emitiendo avisos, el efecto dominó se extiende más allá de las instalaciones de PHP hacia cualquier producto o servicio que incruste o dependa de PHP. No aplicar los parches podría resultar en el compromiso completo del servidor, robo de datos y posible movimiento lateral dentro de las redes corporativas.

Qué puedes hacer

• Actualiza PHP inmediatamente: Migra a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 si estás ejecutando una versión anterior.
• Revisa las compilaciones de Windows: Si usas PHP en Windows, asegúrate de haber instalado las compilaciones actualizadas (por ejemplo, 8.5.12-1) para abordar la vulnerabilidad del decodificador Brotli CVE-2026-111497.
• Audita dependencias: Revisa cualquier aplicación de terceros o plataforma CMS (como WordPress o Drupal) para asegurarte de que son compatibles con las versiones parcheadas de PHP y actualízalas en consecuencia.
• Monitorea los registros: Busca señales de uso inusual de memoria, generación inesperada de procesos o exportaciones grandes de datos que puedan indicar un intento de explotación en curso.
• Desactiva características innecesarias: Si es posible, desactiva la descompresión automática de respuestas HTTP en las extensiones cURL, ya que esto puede mitigar el riesgo asociado con la vulnerabilidad de Brotli en Windows.
• Aplica parches de proveedores: Consulta los avisos de seguridad de proveedores de hardware y software listados en la respuesta global, como F5, Citrix y Siemens, y aplica sus correcciones recomendadas.