PHP Composer lanzó actualizaciones de seguridad urgentes para solucionar dos vulnerabilidades críticas de inyección de comandos. PHP Composer es una herramienta esencial de gestión de dependencias utilizada globalmente por desarrolladores, lo que hace que cualquier fallo de ejecución de código sea altamente preocupante.

Estos errores específicos residen en el controlador del Perforce Version Control System (VCS) y permiten a los atacantes ejecutar comandos arbitrarios en la máquina de una víctima.

Se insta a los usuarios a actualizar inmediatamente sus instalaciones a la versión 2.9.6 de Composer o a la versión de soporte a largo plazo 2.2.27.

Según el aviso oficial de seguridad publicado por Nils Adermann, las vulnerabilidades surgen de una insuficiente sanitización de valores al construir comandos de shell.

Afortunadamente, el equipo de desarrollo informa que actualmente no hay evidencia de explotación activa en la naturaleza antes de esta divulgación pública.

Vulnerabilidad en PHP Composer

Estos dos problemas de seguridad exponen a los desarrolladores de software a riesgos graves al manejar proyectos no confiables o metadatos de paquetes maliciosos.

• CVE-2026-40176: Descubierta por el investigador de seguridad saku0512, esta vulnerabilidad afecta directamente al método interno utilizado para generar comandos de Perforce.
  
  Los atacantes pueden inyectar comandos arbitrarios manipulando parámetros de conexión como el puerto, usuario o cliente dentro de un archivo composer.json malicioso.
  
  Este vector de ataque solo funciona si un desarrollador ejecuta manualmente comandos de Composer en un directorio de proyecto no confiable. No puede activarse silenciosamente a través de dependencias instaladas de forma estándar.
  
• CVE-2026-40261: Reportada por el investigador Koda Reef, este fallo implica una sanitización incorrecta al añadir un parámetro de referencia de origen a un comando del sistema.
  
  Un repositorio de Composer comprometido o malicioso puede servir metadatos de paquetes contaminados que exploten esta vulnerabilidad.
  
  Lo alarmante es que un atacante ni siquiera necesita tener instalado el software Perforce en la máquina objetivo, ya que Composer intentará ejecutar el comando inyectado de todos modos.
  
  Esto es altamente peligroso porque puede explotarse simplemente instalando dependencias maliciosas desde el origen.

Para proteger el ecosistema de desarrolladores PHP, los equipos de seguridad escanearon de forma proactiva el repositorio público principal, Packagist.org, así como entornos de Private Packagist.

Estos escaneos exhaustivos no revelaron paquetes existentes que intentaran explotar estas vulnerabilidades específicas. Como medida preventiva estricta, la publicación de metadatos de origen de Perforce se ha deshabilitado por completo en ambas plataformas desde el 10 de abril de 2026.

Mitigaciones

La forma más efectiva de asegurar tu entorno local es parchear el software inmediatamente. Puedes actualizar fácilmente a las versiones seguras ejecutando el comando composer.phar self-update en tu terminal.

Si no puedes actualizar de inmediato, los expertos en seguridad recomiendan las siguientes soluciones temporales:

• Evita instalar dependencias directamente desde el origen utilizando la bandera --prefer-dist o configurando tu proyecto para preferir archivos de distribución.
• Asegúrate de confiar solo en repositorios de paquetes de Composer verificados y confiables.
• Inspecciona cuidadosamente los archivos composer.json de cualquier proyecto no confiable antes de ejecutar comandos de Composer, verificando que todos los campos relacionados con Perforce contengan datos válidos.

Los desarrolladores que utilicen soluciones Private Packagist autoalojadas deben esperar una actualización de lanzamiento inmediata que incluya herramientas de verificación para escanear metadatos maliciosos en su propia infraestructura.