Hackers están utilizando código de explotación público para vulnerar sitios web que ejecutan PHP, centrándose principalmente en sitios empresariales y universidades. Estos ataques aprovechan dos fallos críticos en el motor de PHP, conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), los cuales poseen una puntuación de gravedad CVSS v4.0 de 9.2.

Etán utilizando ahora código de explotación público para entrar en sitios web que ejecutan PHP, y las universidades y los sitios empresariales se encuentran entre los principales objetivos.

Los errores detrás de esta ola son dos fallos críticos en el motor de PHP, rastreados como CVE-2026-109618 y CVE-2026-109619, y apodados PHP2Shell. Ambos tienen una puntuación CVSS v4.0 de 9.2 y pueden permitir que un usuario externo ejecute comandos en un servidor sin necesidad de iniciar sesión.

PHP lanzó versiones corregidas el 21 de octubre de 2026, pero muchos servidores no habían sido actualizados cuando los scripts de explotación funcionales se difundieron por Internet casi inmediatamente después del lanzamiento.

El equipo de PHP afirma que los errores residen dentro del propio motor de PHP, por lo que un código de sitio web limpio no protege el servidor. El proyecto PHP califica el riesgo como más alto para los servidores Apache que ejecutan PHP como un módulo, conocido como mod_php, ya que el error puede activarse antes de que se ejecute cualquier código del sitio.

Los firewalls y los filtros de aplicaciones web podrían no detectar nunca la solicitud maliciosa, lo que convierte al parcheo en la defensa principal. Nuestro informe anterior sobre la herramienta de prueba pública de PHP2Shell explica el repositorio de investigación que apareció primero y lo que pretendía probar.

Investigadores de Akatsuki Legion, un grupo independiente de investigación de adversarios, identificaron la actividad del malware y la documentaron en un informe público detallado.

Su análisis atribuye la cadena de explotación a un investigador conocido como 9bie, y afirma que scripts de prueba de concepto generados por IA aparecieron en GitHub justo después del lanzamiento del 21 de octubre.

El grupo también capturó telemetría de su propia red honeynet y publicó las herramientas que encontró en uso, las cuales puedes revisar en el archiv,o de investigación del grupo.

Convierten el código de explotación público de PHP2Shell en un arma

La solución más rápida es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Los proveedores de Linux recibieron los parches temprano, por lo que sus canales de paquetes podrían incluirlos ya, y los detalles de la actualización de seguridad de emergencia de PHP enumeran cada rama afectada.

Las versiones más antiguas, como PHP 8.1 y anteriores, ya no reciben actualizaciones oficiales del proyecto PHP, por lo que esos sitios necesitan un backport del proveedor o migrar a una versión soportada.

El código público muestra cómo se encadenan los errores. El primer fallo, CVE-2026-109618, ocurre cuando PHP se queda sin memoria durante una carga, y el paso de limpieza trabaja entonces con datos parcialmente construidos.

El segundo fallo, CVE-2026-109619, deja datos de solicitudes antiguas en un trabajador compartido, por lo que una solicitud posterior puede reutilizarlos. Los scripts públicos utilizan dos fugas de memoria para conocer direcciones y luego colocan una estructura falsa en la memoria para que PHP llame a su función de sistema y ejecute un comando elegido.

La actividad comenzó antes del lanzamiento público. Amazon Threat Intelligence observó sondeos de explotación comenzando el 17 de octubre y afirmó que ocurrieron cuatro días antes de las correcciones, mientras los fallos aún estaban bajo divulgación coordinada.

Ese tiempo es importante porque algunos servidores pueden haber sido sondeados antes de que sus administradores supieran que los errores existían. Los investigadores rastrearon la propagación desde varios frentes.

La telemetría de Hunt.io registró tres kits de herramientas de explotación distintos el 21 de octubre, incluyendo un script de explotación masiva alojado en una dirección IP.

Vínculo con botnets

Akatsuki Legion también describió un directorio abierto que aloja scripts de escucha que registran el tráfico de explotación en los puertos 80 y 8888. En conjunto, los hallazgos muestran que varios grupos estaban compartiendo y probando el código al mismo tiempo.

El vínculo con la botnet ahora está claro. Sophos estudió una muestra de carga útil de la botnet Potassium que fue bloqueada y que parecía ser una variante probable de Mirai.

Los datos de sus clientes mostraron escaneos y algunos intentos fallidos, y Sophos no encontró pruebas de un compromiso exitoso. Aun así, la muestra verifica si existe un programa de Linux antes de ejecutarse, lo que apunta a un plan para convertir los servidores expuestos en bots de DDoS.

El parcheo sigue siendo la única solución completa. El aviso de seguridad oficial de PHP indica que las medidas temporales, como establecer session.upload_progress.enabled en 0 y reiniciar los trabajadores, solo reducen el riesgo y no sustituyen a una actualización.

Como administrador, también deberías verificar que PHP-FPM, los módulos de Apache, los contenedores y los dispositivos integrados ejecuten la nueva versión, ya que actualizar solo el paquete de la línea de comandos puede dejar un servicio activo expuesto.

Para las universidades y empresas, la lección es directa. El código de explotación público reduce la habilidad necesaria para alcanzar un servidor vulnerable, y la misma configuración de PHP a menudo hace funcionar portales escolares, sitios de cursos y páginas de pequeñas empresas.

Los equipos de seguridad deben hacer un inventario de cada entorno de ejecución de PHP, parchearlo, reiniciar los servicios y revisar los registros en busca de solicitudes POST que contengan PHP_SESSION_UPLOAD_PROGRESS.

Fuentes:
https://cybersecuritynews.com/public-php2shell-exploit-code/