Vulnerabilidades críticas PHP2Shell
PHP2Shell: Dos vulnerabilidades críticas permiten la ejecución remota de código.
PHP acaba de publicar parches para dos vulnerabilidades críticas que afectan al núcleo del lenguaje de programación: CVE-2026-109618 y CVE-2026-109619. Denominadas PHP2Shell por varios investigadores, estas vulnerabilidades pueden permitir la ejecución remota de código sin autenticación, especialmente en servidores PHP expuestos a Internet.
Las versiones corregidas ya están disponibles. Se recomienda a todos los usuarios actualizar sus instalaciones de inmediato: el riesgo se considera especialmente elevado en entornos Apache mod_php, donde los investigadores han demostrado que la explotación puede producirse antes de la ejecución del código de la aplicación.
Consult the official PHP notice
¿Cuáles son las versiones corregidas?
Las siguientes versiones incluyen parches de seguridad:
PHP Branch | Versión corregida |
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
Las instalaciones con PHP 8.1 y versiones anteriores ya no cuentan con el soporte de seguridad estándar del proyecto PHP. No obstante, algunos editores, distribuciones Linux o proveedores de soporte a largo plazo pueden ofrecer parches. De lo contrario, deberá planificarse rápidamente una migración a una rama compatible.
PHP 8.2 sigue corregido en esta versión, pero está previsto que esta rama llegue al final de su ciclo de vida el 31 de diciembre de 2026. Por lo tanto, se recomienda actualizar a una versión más reciente.
Los avisos de seguridad publicados por PHP asignan a estas vulnerabilidades una puntuación CVSS v4.0 de 9,2, correspondiente a un nivel de criticidad crítico.Advisory CVE-2026-109618 · Advisory CVE-2026-109619
¿Por qué es tan importante esta alerta?
PHP es utilizado por un gran número de sitios web, portales empresariales y aplicaciones expuestas en Internet. El riesgo no afecta únicamente a un framework o CMS concreto: cualquier aplicación que se ejecute sobre un motor PHP vulnerable puede estar expuesta. En particular, entornos WordPress, Drupal y Joomla se han utilizado en escenarios de demostración. Por tanto, actualizar el CMS no es necesariamente suficiente: es la aplicación PHP subyacente la que debe identificarse y corregirse.
Según el informe del CERT Orange Cyberdefense proporcionado en el marco de este análisis, se observaron intentos de explotación tras la divulgación de los detalles técnicos. La disponibilidad pública de pruebas de concepto y la presencia de varios millones de servicios PHP expuestos pueden acelerar las campañas de ataque en los próximos días.
Las posibles consecuencias incluyen:
- ejecución de comandos con los privilegios del proceso web;
- instalación de malware o webshells;
- access to secrets in memory, such as passwords, tokens or API keys;
- acceso a secretos almacenados en memoria, como contraseñas, tokens o claves API;
- acceso a los datos procesados por el servidor;
- un rebote hacia otros componentes del sistema de información.
¿Qué medidas deben tomarse de inmediato?
Las organizaciones afectadas deben tratar esta alerta como una operación de corrección prioritaria.
1. Identificar todas las instalaciones PHP expuestas
El inventario debe incluir los servidores accesibles desde Internet, los entornos cloud, los contenedores, las plataformas de alojamiento y las infraestructuras utilizadas por las aplicaciones empresariales. Es importante identificar:
- la versión exacta de PHP;
- el modo de ejecución utilizado: mod_php, PHP-FPM, CGI, FrankenPHP o LiteSpeed;
- los servidores Apache y las aplicaciones accesibles desde Internet;
- las ramas de PHP que han llegado al final de su ciclo de vida;
- cualquier instalación que no esté registrada en el inventario central.
2. Actualizar a una versión corregida
PHP recomienda migrar a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, en función de la compatibilidad de la aplicación y de la distribución utilizada.
Tras la actualización, también es necesario reiniciar los componentes que cargan el motor PHP, en particular:
Apache;
PHP-FPM;
los procesos persistentes de PHP;
los contenedores o servicios afectados.
3. Gestionar las versiones antiguas
Para PHP 8.1 y las ramas anteriores, compruebe la disponibilidad de un parche con la distribución Linux, el editor o el proveedor de soporte. Si no hay parches fiables disponibles, debe acelerarse la migración a una versión compatible.
4. Reforzar temporalmente los controles
PHP documenta varias medidas para reducir la exposición de las organizaciones que no pueden actualizar de inmediato.
Estas medidas son temporales e incompletas. Según PHP, la actualización constituye la única solución completa. Por lo tanto, no deben retrasar la instalación de las versiones corregidas.
5. Buscar indicios de explotación
Los equipos de seguridad deben examinar los registros web, Apache, PHP-FPM, los sistemas de detección y los eventos relacionados con procesos para identificar:
solicitudes inusualmente grandes o repetidas;
errores fatales inusuales;
reinicios frecuentes de los procesos de trabajo;
creaciones o modificaciones inesperadas de archivos;
procesos secundarios iniciados por servicios web;
conexiones salientes inusuales desde servidores PHP;
accesos sospechosos a archivos de configuración o secretos.
La ausencia de una alerta visible no descarta que se haya producido una intrusión. Las investigaciones deben tener en cuenta el período de conservación de los registros y el nivel de visibilidad disponible en los servidores afectados.
El papel de la inteligencia de amenazas frente a esta vulnerabilidad
En este tipo de crisis, la rapidez de respuesta depende tanto de la disponibilidad del parche como de la capacidad para identificar rápidamente los activos afectados, los intentos de explotación y las posibles señales de compromiso.
El CERT de Orange Cyberdefense puede ayudar a las organizaciones a:
evaluar su exposición;
priorizar los activos vulnerables;
analizar las versiones y configuraciones de PHP;
buscar de forma proactiva indicios de compromiso;
supervisar las campañas de explotación;
coordinar a los equipos de infraestructura, aplicaciones y seguridad;
implementar medidas de detección y respuesta.
El papel de la inteligencia de amenazas frente a esta vulnerabilidad
En este tipo de crisis, la rapidez de respuesta depende tanto de la disponibilidad del parche como de la capacidad para identificar rápidamente los activos afectados, los intentos de explotación y las posibles señales de compromiso.
El CERT de Orange Cyberdefense puede ayudar a las organizaciones a:
evaluar su exposición;
priorizar los activos vulnerables;
analizar las versiones y configuraciones de PHP;
buscar de forma proactiva indicios de compromiso;
supervisar las campañas de explotación;
coordinar a los equipos de infraestructura, aplicaciones y seguridad;
implementar medidas de detección y respuesta.
¿Necesita ayuda para evaluar su exposición a PHP? El CERT de Orange Cyberdefense puede ayudarle a identificar los entornos afectados, priorizar las acciones de corrección y buscar posibles indicios de compromiso. Contacte con nuestros equipos: cert-contact.ocd@orange.com
Preguntas y respuestas
¿Estas vulnerabilidades afectan únicamente a WordPress?
No. Afectan al propio motor PHP. WordPress, Drupal, Joomla y otras aplicaciones pueden estar expuestas cuando se ejecutan sobre una versión vulnerable de PHP.
¿Es suficiente con actualizar mi CMS?
No. Es necesario actualizar el entorno de ejecución PHP y reiniciar los servicios afectados. La actualización del CMS no corrige automáticamente el motor PHP instalado en el servidor.
¿PHP-FPM está afectado?
PHP indica que deben evaluarse todas las instalaciones de PHP que atienden solicitudes web, incluido PHP-FPM. El nivel de exposición depende, en particular, de la configuración, del servidor frontal y de las rutas de ejecución utilizadas.
¿Existe alguna medida temporal suficiente?
No. PHP especifica que las medidas de reducción de la exposición no constituyen una solución completa. La instalación de una versión corregida sigue siendo la única solución definitiva.
¿PHP 8.2 y las versiones anteriores siguen siendo compatibles?
PHP 8.2 sigue recibiendo el parche en la versión 8.2.35, pero está previsto que esta rama llegue al final de su ciclo de vida el 31 de diciembre de 2026. Las versiones 8.1 y anteriores ya no están cubiertas por el soporte de seguridad estándar de PHP.