Cloudflare ha detectado los primeros intentos de explotación de dos vulnerabilidades críticas de PHP, cuyos detalles se filtraron antes de la fecha de lanzamiento oficial del equipo de seguridad de PHP. Para mitigar este riesgo, la empresa ha implementado reglas en su Firewall de Aplicaciones Web (WAF) para bloquear los patrones de ataque conocidos, las cuales están disponibles para todos sus clientes, incluyendo los planes gratuitos.

Cloudflare afirma que está detectando primeros intentos de explotar dos vulnerabilidades críticas de PHP cuyos detalles salieron a la luz antes del lanzamiento planificado por el equipo de seguridad de PHP. La compañía ha desplegado un conjunto inicial de reglas de Firewall de Aplicaciones Web (WAF) para bloquear patrones de explotación conocidos. Cloudflare indica que las reglas están disponibles para todos sus clientes, incluidos aquellos en planes gratuitos, y que las está actualizando a medida que aparecen nuevos patrones.

La advertencia aumenta la urgencia para los equipos que gestionan sitios web en PHP, pero las reglas del firewall son solo una capa de protección temporal. El director de tecnología de Cloudflare, Dane Knecht, señaló que debes aplicar el parche tan pronto como PHP publique su actualización de seguridad. Al momento de escribir esto, el lanzamiento está programado para las 14:00 UTC del 21 de octubre, o las 19:30 IST.

Los sitios de PHP detrás de Cloudflare ya tienen desplegado un conjunto inicial de reglas de WAF para los vectores de explotación conocidos en estas vulnerabilidades. Las reglas están disponibles para todos los clientes, incluidos los gratuitos.

Estamos viendo surgir ataques tempranos y estamos actualizando las mitigaciones a medida que aparecen nuevos vectores… https://t.co/wMz9tDTWwH

— Dane Knecht (@dok2001) 21 de octubre de 2026

Los informes públicos rastrean los fallos como CVE-2026-109618 y CVE-2026-109619. El equipo de seguridad de PHP ha calificado ambos como críticos, con una puntuación CVSS v4.0 de 9.2. Investigadores e informes de seguridad los describen como vulnerabilidades de ejecución remota de código, un tipo de fallo que podría permitir que un atacante ejecute código en un servidor vulnerable. Sin embargo, PHP aún no ha publicado los detalles técnicos completos, incluidos los componentes afectados, las rutas de ataque precisas o las versiones vulnerables confirmadas.

La información se hizo pública antes de la divulgación y la actualización de seguridad planificadas. El equipo de PHP anunció una fecha de lanzamiento anticipada tras la filtración, y dijo que podría adelantar la fecha nuevamente si los detalles técnicos se hacían públicos o si encontraba pruebas de explotación activa. La advertencia de Cloudflare indica ahora que están surgiendo intentos, aunque la empresa no ha compartido pruebas o detalles que te permitan evaluar su escala o éxito.

Un WAF comprueba las solicitudes web y puede bloquear el tráfico que coincida con patrones dañinos conocidos. Estas reglas pueden reducir la exposición mientras preparas las actualizaciones, pero no pueden sustituir las correcciones del código PHP subyacente.

Los nuevos patrones de explotación de PHP2Shell también podrían evadir las reglas escritas para solicitudes conocidas. Cloudflare dice que está ajustando sus protecciones a medida que aparecen nuevos vectores, pero ha descrito las reglas como una medida provisional.

Debes identificar cada sistema orientado a internet que ejecute PHP, incluidos los sitios creados con sistemas de gestión de contenidos y software que incluya su propio entorno de ejecución de PHP. Debes supervisar los avisos oficiales de seguridad de PHP y los canales de actualización de tu sistema operativo o proveedor de hosting.

Una vez que las versiones corregidas estén disponibles, debes verificar las versiones afectadas y aplicar la actualización correcta con prontitud. También debes comprobar que tu WAF esté activado y que las reglas pertinentes estén configuradas para bloquear, y no simplemente registrar, las solicitudes sospechosas, tal como Cloudflare ha aconsejado a sus clientes de pago.

Después de aplicar el parche, debes revisar los registros del servidor web y de PHP en busca de solicitudes inusuales y comprobar si los procesos trabajadores de PHP lanzaron programas inesperados. Tu equipo de seguridad debe investigar cualquier actividad sospechosa en lugar de asumir que un bloqueo del WAF significa que el sistema nunca fue alcanzado. Si un servidor muestra signos de haber sido comprometido, conserva los registros y sigue el proceso de respuesta a incidentes de tu organización.

El incidente también muestra cómo la filtración de la divulgación de una vulnerabilidad puede reducir el tiempo de preparación de los defensores. El amplio uso de PHP en sitios web y servicios de hosting significa que podrías necesitar localizar entornos de ejecución fuera de tu inventario principal de aplicaciones.

Los informes indican que los fallos podrían afectar a versiones antiguas de PHP, pero la lista oficial de versiones afectadas aún está pendiente, por lo que debes evitar confiar en afirmaciones preliminares.

Para continuar con la cobertura, consulta el informe de Cyber Security News sobre la actualización de seguridad de emergencia planificada de PHP y su cobertura de otras vulnerabilidades recientes de PHP.

Fuentes:
https://cybersecuritynews.com/php-early-exploitation-attempts/