El equipo de PHP lanzó parches de emergencia para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE), conocidas colectivamente como PHP2Shell, que afectan a casi todas las instalaciones de PHP. Debido a que permiten ataques sin autenticación y ya se han detectado intentos de explotación, se insta a los administradores a actualizar inmediatamente a las versiones más recientes (8.x). Para versiones obsoletas (7.x y anteriores), se recomienda migrar o aplicar parches mínimos proporcionados por el equipo de seguridad.

El equipo de seguridad de PHP ha publicado parches de seguridad de emergencia para dos vulnerabilidades críticas de ejecución remota de código (RCE) (CVE-2026-109618 y CVE-2026-109619) rastreadas colectivamente como PHP2Shell.

Los dos fallos RCE no autenticados de PHP2Shell afectan a todas las instalaciones de PHP que atienden solicitudes web, incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.

"Consideramos que el riesgo es mayor para mod_php, con un exploit demostrado donde una solicitud no autenticada puede desencadenar el ataque antes de que se ejecute cualquier código de aplicación", afirmó el equipo de seguridad de PHP (enlace).

Ambos fallos derivan del mismo problema subyacente: PHP puede dejar su memoria en un estado corrupto cuando una solicitud finaliza anormalmente, y ambos pueden ser explotados para lograr la ejecución remota de código.

La vulnerabilidad CVE-2026-109618 puede utilizarse para obtener la ejecución remota de código como la cuenta del trabajador web explotando una cadena de debilidades que provocan la corrupción de memoria fuera de límites, mientras que la vulnerabilidad de estado global obsoleto CVE-2026-109619 permite el use-after-free de heap no autenticado, la divulgación de memoria y la ejecución remota de código con los privilegios del trabajador web.

Los administradores deben instalar PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 lo antes posible en servidores que ejecuten PHP 8.x y migrar a una versión corregida si ejecutan PHP 7 o anterior.

"PHP 8.1 y versiones anteriores ya no reciben actualizaciones del proyecto PHP. Algunas distribuciones y proveedores de LTS proporcionan correcciones backporteadas, por lo que contacte con su proveedor para obtener detalles o actualice a una versión compatible", añadieron los desarrolladores de PHP.

"Dada la gravedad de estas vulnerabilidades, el equipo de seguridad de PHP proporcionó backports mínimos de código fuente para PHP 7.4, PHP 8.0 y PHP 8.1 para ayudar a quienes compilan desde el código fuente o no tienen acceso a un proveedor de LTS".

Advertencia avanzada

Esto sigue a una advertencia del martes de los desarrolladores de PHP instando a los administradores a prepararse para instalar estas actualizaciones de seguridad tan pronto como se publiquen.

"Se anima a todos los usuarios de PHP a prepararse ahora para que puedan actualizarse tan pronto como la versión esté disponible", dijeron. "Nos reservamos el derecho de publicar antes si los detalles de cualquiera de las vulnerabilidades se hacen públicos, o si aparece evidencia de explotación activa".

La desarrolladora principal de PHP, Gina Peter Banyard, advirtió (enlace) que ninguna mitigación de PHP2Shell bloquearía completamente los ataques potenciales y que la aplicación de los parches de seguridad oficiales es la única defensa permanente.

Antes de que se publicaran los parches, el CTO de Cloudflare, Dane Knecht, confirmó (enlace) que la empresa (que ya había implementado un conjunto de reglas de WAF diseñadas para bloquear los métodos de explotación conocidos de PHP2Shell) ya estaba observando ataques tempranos dirigidos a las dos vulnerabilidades. Sin embargo, Knecht también subrayó que estas protecciones eran temporales e instó a todos los administradores a instalar las actualizaciones de seguridad de PHP tan pronto como estuvieran disponibles.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) también ha advertido a las organizaciones británicas (enlace) que actualicen inmediatamente los sistemas que utilizan PHP o los desconecten hasta que puedan ser parcheados.

Medidas de mitigación temporales

No obstante, el equipo de seguridad de PHP compartió una serie de medidas de mitigación que deberían reducir la exposición a algunas rutas de ataque para aquellos que no pueden parchear sus servidores inmediatamente, aunque no protegen totalmente contra la explotación (la información detallada está disponible en la publicación del blog de PHP aquí):
 

 CVE-2026-109618:

•  Establecer memory_limit=-1, preferiblemente de una manera que las aplicaciones no puedan anular, como php_admin_value en el pool de FPM o la configuración de Apache.
•  Establecer un post_max_size bajo: 8M para aplicaciones que no requieren subida de archivos, 32M si las subidas son necesarias.
•  Usar un límite de contenedor o cgroup como límite de disponibilidad, preferiblemente con una política que mate solo al trabajador afectado.

 

 CVE-2026-109619:

• Establecer session.upload_progress.enabled=0 y reiniciar cada trabajador.
• En PHP 8.5, establecer fatal_error_backtraces=0 y reiniciar cada trabajador. Esto bloquea solo la ruta de backtrace fatal confirmada.
• Eliminar configuraciones inválidas o obsoletas aplicadas por solicitud que emitan diagnósticos antes de la inicialización. Ocultar diagnósticos con error_reporting, display_errors o @ no ayuda.
• Corregir errores fatales y tiempos de espera de ejecución accesibles para el atacante, incluidos los fallos en callbacks, procesamiento de subida o importación y limpieza.

PHP (Hypertext Preprocessor) es un lenguaje de desarrollo web de código abierto, del lado del servidor, que impulsa entre el 75% y el 80% de todos los sitios web, incluidos aquellos que utilizan sistemas de gestión de contenidos (CMS) como WordPress, Joomla y Drupal.

Según estimaciones de VirusTotal (enlace), más de 5,1 millones de hosts PHP están expuestos en línea, y aproximadamente 3,8 millones tienen al menos un puerto abierto.

Fuente:
BleepingComputer