PHP lanza parches de emergencia para fallos críticos PHP2Shell

El miércoles 21 de octubre, los responsables de PHP publicaron actualizaciones de seguridad no programadas para dos fallos críticos en el motor central del lenguaje. En conjunto, los errores se denominan PHP2Shell y permiten que un atacante sin cuenta ejecute código en servidores web. BleepingComputer informó que las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los fallos se rastrean como CVE-2026-109618 y CVE-2026-109619, y cada uno tiene una calificación de 9.2 en la escala CVSS v4.0. The Hacker News señaló que PHP los lanzó alrededor de las 14:00 UTC, un día después de que los detalles se filtraran antes de una divulgación planificada para el 22 de octubre.bleepingcomputer.com+1

Lo que está en juego es importante porque los fallos residen en el propio tiempo de ejecución, no en aplicaciones individuales. Wiz Research, uno de los equipos que los encontró, dice que PHP impulsa alrededor del 70% de los sitios web del mundo, y que cada versión de PHP de la última década, desde la 5.4, tiene al menos uno de los errores.ncsc.gov.uk

Gobiernos desconectan sitios

Agencias gubernamentales en los Países Bajos y Finlandia desconectaron sitios web como medida de precaución, informó Reuters. Las agencias de ciberseguridad en Europa, Australia, Japón y Gran Bretaña dijeron a los usuarios de PHP que actualizaran de inmediato o desconectaran sus sitios. La agencia de ciberseguridad holandesa cerró su propio sitio web. También lo hicieron la Tweede Kamer, la cámara baja del parlamento holandés, y el Instituto Nacional de Salud Pública y Medio Ambiente, según la BBC. El Centro Nacional de Ciberseguridad de Gran Bretaña aconsejó que "cuando la remediación inmediata no sea factible, las organizaciones deberían considerar desconectar el sistema".reuters.com+1

Antes de que salieran los parches, el CTO de Cloudflare, Dane Knecht, dijo: "Estamos viendo ataques tempranos emergiendo", y calificó las reglas del firewall de la compañía como "solo una solución provisional". No se ha confirmado ninguna intrusión exitosa. A las 11:26 UTC, watchTowr no había visto ninguna explotación en la naturaleza.thehackernews.com+1

Versiones antiguas quedan expuestas

Los fallos afectan a PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP dice que mod_php conlleva el mayor riesgo, ya que un exploit demostrado puede ser activado por una solicitud no autenticada "antes de que se ejecute cualquier código de aplicación". Las versiones 8.1 y anteriores ya no son compatibles y no reciben lanzamientos oficiales. Sin embargo, dada la gravedad de los errores, el equipo de PHP publicó backports de código fuente mínimos para 7.4, 8.0 y 8.1. Los atacantes también pueden leer la memoria de los trabajadores, que puede contener contraseñas, claves API y certificados. Actualizar una aplicación como WordPress no actualiza el tiempo de ejecución de PHP subyacente.bleepingcomputer.com+1

Descubrimiento asistido por IA

Los fallos fueron encontrados por Wiz, Calif y el equipo de seguridad Codex de OpenAI. Según The Hacker News, el código subyacente había estado en PHP durante más de una década. Wiz comparó PHP2Shell con Heartbleed y Log4Shell. Dijo que los modelos de IA de frontera "redujeron sustancialmente" la barrera para convertir un fallo de larga data en un exploit funcional. Antes del lanzamiento, el desarrollador principal de PHP, Gina Peter Banyard, advirtió que "la única mitigación es parchear/actualizar PHP".thehackernews.com+1