El exploit PHP2Shell ha provocado una crisis de seguridad global, afectando incluso a servicios gubernamentales del Reino Unido mediante la ejecución remota de código. Aunque los desarrolladores ya lanzaron parches críticos para las vulnerabilidades principales, se ha identificado una tercera falla menos probable que requiere una configuración específica para ser explotada. Se recomienda a los administradores actualizar sus sistemas inmediatamente o ajustar la configuración de sesiones para mitigar riesgos.






Mientras continúa el caos de PHP2Shell, los investigadores han encontrado una tercera vulnerabilidad de PHP que podría permitir a los atacantes tomar el control de sitios web o ejecutar malware remotamente en sistemas vulnerables. Pero esta no recibirá una corrección de emergencia.

La Fundación PHP informó el viernes que ha reservado un identificador CVE (CVE-2026-115560) para un tercer fallo de RCE que se suma a los dos primeros que componen PHP2Shell, y publicará un aviso completo y el software corregido con la próxima versión regular de PHP.

La CVE-2026-115560 "requiere una combinación muy improbable de configuración y código de aplicación PHP específico, que no esperamos que ocurra en el uso práctico de PHP", dijo Elizabeth Barron, directora ejecutiva de la Fundación PHP. "El problema puede mitigarse con un ajuste de configuración. Por lo tanto, por el momento el Equipo de Seguridad de PHP solo ha publicado un aviso informativo en el sitio web de PHP, explicando exactamente esta situación."

El aviso informativo, publicado el viernes, sugiere que los usuarios "establezcan session.upload_progress.enabled=0 hasta la próxima versión regular de corrección de errores, para protegerse totalmente de un vector de RCE improbable."

Estos ataques de RCE improbables requieren que una aplicación configure "session.serialize_handler como php_binary o php_serialize en su configuración y luego lo cambie a php en tiempo de ejecución con ini_set() antes de llamar a session_start()." Además, la función de progreso de carga de sesión debe estar habilitada.

Esta configuración, según la Fundación PHP, es improbable en aplicaciones del mundo real y, como tal, no representa el mismo riesgo masivo que los dos CVE anteriores que incendiaron internet a principios de esta semana.

Aquellos, por supuesto, son CVE-2026-109618 y CVE-2026-109619, llamados colectivamente PHP2Shell. Las vulnerabilidades relacionadas implican fallos de seguridad de memoria en PHP, el lenguaje de programación de código abierto que se ejecuta en aproximadamente el 70 por ciento de los sitios web con un lenguaje de programación del lado del servidor conocido. La Fundación PHP divulgó y parcheó oficialmente ambos errores el miércoles.

A pesar de los informes de intentos de explotación masiva y múltiples exploits de prueba de concepto tanto antes como después de las divulgaciones de CVE, hasta el viernes no ha habido compromisos exitosos confirmados públicamente atribuidos a PHP2Shell.

"No tenemos evidencia de explotación exitosa de las dos vulnerabilidades del miércoles antes de la divulgación, y actualmente no tenemos evidencia de ninguna explotación de estas vulnerabilidades en versiones de PHP parcheadas", dijo Barron. "No recibimos ninguna indicación adicional de OpenAI, Wiz o Calif, con quienes estamos trabajando estrechamente en este asunto, con respecto a cualquier problema en sistemas parcheados."

Se contactó a otros múltiples investigadores de seguridad, todos los cuales dijeron haber documentado intentos de explotación, pero ningún ataque exitoso confirmado en el entorno real.

"No obstante, la explotación puede haber comenzado ya de manera limitada y la amenaza es viable y muy seria", dijo el Director de Tecnología de Mandiant, Charles Carmakal, en una publicación de LinkedIn el viernes en un post de LinkedIn. Google Cloud es propietaria de Mandiant, junto con la empresa de seguridad en la nube Wiz, que es una de las organizaciones acreditadas por encontrar y reportar las vulnerabilidades de PHP2Shell.

A pesar de que "no hay evidencia de una explotación exitosa a gran escala", Carmakal señaló que hay varios PoC de exploits circulando públicamente en línea.

Muchos de estos, dijo, "parecen estar 'codificados por intuición' y son incapaces de ejecutar código remoto. Sin embargo, hemos validado algunos PoC que son capaces de RCE contra despliegues predeterminados de mod_php pero no PHP-FPM."

Fuente:
TheRegister