Se han detectado millones de intentos de explotación de las recién divulgadas vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619), con el objetivo de introducir la variante del botnet Mirai, conocida como Potassium, en sistemas comprometidos. Estas vulnerabilidades, con una puntuación CVSS de 9.2, permiten la ejecución remota de código (RCE) no autenticada mediante solicitudes HTTP especialmente diseñadas. Aunque los atacantes están intentando activamente explotar estas fallas, la implementación de exploits confiables ha demostrado ser más compleja de lo esperado, especialmente contra sistemas protegidos por ASLR (Address Space Layout Randomization).
La variante Potassium de Mirai es una versión significativamente expandida del botnet, capaz de ejecutar ataques de denegación de servicio distribuido (DDoS) y otras funcionalidades de interrupción de red. Los atacantes utilizan herramientas para identificar servidores PHP vulnerables, realizando sondeos sobre versiones de PHP, configuraciones del servidor y ajustes de sesión. Un desafío técnico clave para los atacantes es eludir el ASLR, un mecanismo de seguridad que randomiza las ubicaciones de memoria para dificultar la explotación.
Se ha desarrollado una técnica que encadena ambas vulnerabilidades, utilizando una fuga de memoria para sortear el ASLR y lograr RCE incluso en configuraciones de producción. Las versiones de PHP anteriores a 8.5.12, 8.4.27, 8.3.36 y 8.2.35 son las afectadas, y se estima que más de 34.4 millones de servicios PHP siguen siendo vulnerables globalmente, incluyendo instalaciones en versiones de PHP antiguas y sin soporte.
La acción más crítica es actualizar las instalaciones de PHP a las versiones parcheadas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para las organizaciones que aún utilizan versiones de PHP sin soporte (como 7.4, 8.0 u 8.1), se recomienda encarecidamente migrar a una rama compatible o aplicar backports de seguridad proporcionados por su distribución. Adicionalmente, implementar un Web Application Firewall (WAF) es una mitigación efectiva para detectar y bloquear intentos de explotación de RCE, incluso antes de que lleguen a la aplicación.
Qué significa para tu empresa: Este incidente subraya la importancia crítica de mantener sus sistemas y aplicaciones web actualizados y protegidos. Un ataque exitoso de RCE puede comprometer credenciales, claves API y acceso a bases de datos, sirviendo como una puerta de entrada para infiltraciones más profundas en la infraestructura. Es fundamental implementar una defensa por capas, donde las aplicaciones críticas estén protegidas por un WAF para aplicaciones que filtre el tráfico malicioso y bloquee intentos de explotación como los de PHP2Shell, complementando así la seguridad de su infraestructura.
Fuente original: The Hacker News — ver artículo →