Ir al contenido

PHP2Shell

De Wikipedia, la enciclopedia libre
Este artículo documenta un evento reciente o actualmente en curso.
La información puede cambiar rápidamente a medida que los hechos evolucionan. Ayuda a mantenerla precisa actualizando los datos o debatiendo los cambios en la página de discusión, añadiendo referencias verificables y evitando especulaciones.
PHP2Shell
CVE-2026-109618
Información general
CVSS 9,2 (CVSS v4.0)
Fecha de descubrimiento 1 de agosto de 2026
Fecha de revelación 20 de octubre de 2026
Descubridor
Fecha de parchado 21 de octubre de 2026
Uso Código arbitrario
Software afectado PHP (versiones 5.4 a 8)
Enlaces
[editar datos en Wikidata]

CVE-2026-109618 y CVE-2026-109619 son dos vulnerabilidades de seguridad en el lenguaje de programación PHP que permiten la ejecución remota de código y que se conocen conjuntamente como PHP2Shell. Su existencia se anunció públicamente el 20 de octubre de 2026.[1] Al día siguiente, se publicaron parches de emergencia y detalles acerca de las vulnerabilidades.[2]

Descubrimiento

[editar código · editar]

Las vulnerabilidades fueron descubiertas de manera independiente por la empresa de seguridad informática Calif, con sede en California, como parte del proyecto «Patch the Planet» de OpenAI, y por la empresa israeloestadounidense de seguridad en la nube Wiz.[3] Según Wiz, las vulnerabilidades afectan a versiones de PHP desde la 5.4 hasta la 8.[4]

Los desarrolladores de PHP asignaron a las vulnerabilidades una puntuación de 9,2 sobre 10, correspondiente a una gravedad crítica, según la versión 4.0 del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS).[5] Por su parte, la empresa de seguridad informática watchTowr les asignó la puntuación máxima de 10,0.[6]

Alerta técnica de ciberseguridad emitida por el Gobierno de Costa Rica debido a la vulnerabilidad PHP2Shell

Parches de seguridad

[editar código · editar]

Los responsables del mantenimiento de PHP publicaron versiones corregidas de PHP 8.2, 8.3, 8.4 y 8.5.[2] También se publicaron parches para el código fuente de las versiones 7.4, 8.0 y 8.1, aunque no se distribuyeron archivos binarios oficiales actualizados para estas versiones, debido a que habían alcanzado el final de su ciclo de vida y ya no contaban con soporte oficial.[2]

Ambas vulnerabilidades se divulgaron mediante avisos de seguridad en GitHub[7][8] el 21 de octubre a las 13:34 UTC, 26 minutos antes de la hora anunciada para la publicación de las correcciones. El sitio web de PHP se actualizó poco después.

Los responsables de PHP anunciaron anticipadamente la actualización, después de que se filtrara información sobre las vulnerabilidades en los foros de Hacker News y de que la cuenta de la empresa de ciberseguridad watchTowr Labs en X confirmara su existencia.[9] El aviso anticipado publicado en PHP.net instó a los usuarios a prepararse y actualizar sus sistemas tan pronto como estuvieran disponibles los parches.[9][1]

La empresa de seguridad informática Sansec anticipó que podrían producirse ataques masivos durante los primeros 15 minutos posteriores a la publicación de las correcciones.[10] Antes de que finalizara el período de embargo informativo, comenzaron a circular por Internet pruebas de concepto (PoC), análisis técnicos y medidas de mitigación parciales.[6][11]

Cloudflare informó de indicios de explotación temprana de las vulnerabilidades antes de la publicación oficial de los parches y desplegó reglas temporales para su cortafuegos de aplicaciones web (WAF), como medida provisional para intentar mitigar los ataques.[12][13]

Impacto

[editar código · editar]

Aproximadamente el 79 % de los sitios web utilizan PHP o su sistema esta basado en el, por lo que las vulnerabilidades tenían el potencial de provocar consecuencias generalizadas.[14]

Tras las recomendaciones del equipo de respuesta a emergencias informáticas de la Unión Europea (CERT-EU) y del Centro Nacional de Ciberseguridad del Reino Unido, numerosas organizaciones europeas desconectaron sus sitios web como medida preventiva mientras esperaban la publicación de los parches. Entre los servicios afectados estuvieron el portal gubernamental Overheid.nl de los Países Bajos, la plataforma nacional de comunicación escolar de Dinamarca, todos los servicios web gubernamentales de acceso público de Finlandia y sitios web de administraciones locales de Francia.[15][16][17][18]

La Fundación Wikimedia desconectó temporalmente numerosos servicios auxiliares, mientras que los sitios de foros 4chan y Something Awful también quedaron fuera de servicio.[14][19]

Referencias

[editar código · editar]
  1. 1 2 «PHP: News Archive - 20 Oct 2026». PHP.net (en inglés). 20 de octubre de 2026. Consultado el 21 de octubre de 2026.
  2. 1 2 3 «PHP: News Archive - 21 Oct 2026». PHP.net (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  3. ↑ «Patch the Planet: global response coordination as agents uncover critical vulnerabilities». OpenAI (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  4. ↑ «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet». Wiz (en inglés). Consultado el 21 de octubre de 2026.
  5. ↑ «php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release». PHP.net (en inglés). Consultado el 21 de octubre de 2026.
  6. 1 2 Abrams, Lawrence. «PHP warns admins of two critical flaws, emergency patches coming tomorrow». BleepingComputer (en inglés). Consultado el 21 de octubre de 2026.
  7. ↑ «RCE via OOM corruption». GitHub (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  8. ↑ «RCE via stale global state». GitHub (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  9. 1 2 Khandelwal, Swati (21 de octubre de 2026). «PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert». The Hacker News (en inglés). Consultado el 21 de octubre de 2026.
  10. ↑ Goodin, Dan (21 de octubre de 2026). «PHP warns it plans to release 2 emergency patches imminently». Ars Technica (en inglés). Archivado desde el original el 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  11. ↑ «Only for the curious...». jackalsyn.com (en inglés). Consultado el 21 de octubre de 2026.
  12. ↑ Knecht, Dane (21 de octubre de 2026). «Dane Knecht (@dok2001) on X». X (en inglés).
  13. ↑ «Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits». PC Gamer (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  14. 1 2 Collier, Kevin (21 de octubre de 2026). «Critical vulnerabilities in commonly used web code spark rush to update systems». NBC News (en inglés). Consultado el 21 de octubre de 2026.
  15. ↑ Satter, Raphael; Pardesi, Rajveer; Marchandon, Leo (21 de octubre de 2026). «Government websites go dark as software flaw sparks security scramble». Reuters (en inglés). Consultado el 21 de octubre de 2026.
  16. ↑ «Websites taken down as critical PHP cyber-security update issued». BBC News (en inglés). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.
  17. ↑ «Major websites go offline as critical PHP vulnerability triggers security fears». The Brussels Times (en inglés). Consultado el 21 de octubre de 2026.
  18. ↑ «Critical security issue affecting PHP» (en inglés). National Cyber Security Centre. 20 de octubre de 2026.
  19. ↑ «Impact of PHP vulnerabilities on Wikimedia tools and services». Diff (en inglés) (Fundación Wikimedia). 21 de octubre de 2026. Consultado el 21 de octubre de 2026.

Enlaces externos

[editar código · editar]
Obtenido de «https://es.wikipedia.org/w/index.php?title=PHP2Shell&oldid=175959519»