PHP ha lanzado actualizaciones de emergencia para corregir dos fallas críticas, conocidas como PHP2Shell, que permiten a un atacante ejecutar código remotamente (RCE) en un servidor web sin necesidad de autenticación. Estas vulnerabilidades residen en el propio lenguaje PHP, no en aplicaciones específicas, lo que expone a casi cualquier sitio web que utilice versiones vulnerables de este entorno de ejecución. Ya se han detectado intentos de explotación.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9.2 en la escala CVSS v4.0. Afectan a la mayoría de las instalaciones de PHP que sirven solicitudes web, incluyendo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es particularmente alto en servidores que usan Apache con mod_php, donde un exploit funcional puede desencadenar el ataque antes de que se ejecute cualquier código de aplicación. Un atacante podría no solo ejecutar código arbitrario, sino también leer la memoria del proceso PHP, exponiendo contraseñas, tokens de autenticación, claves de API y certificados de otras solicitudes.
La única solución completa es actualizar el entorno de ejecución de PHP. Las versiones corregidas son: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Después de la actualización, es crucial reiniciar los servicios como Apache, PHP-FPM y cualquier otro proceso PHP de larga duración. Para versiones anteriores (PHP 8.1 y más antiguas), que ya no reciben soporte oficial, se han publicado backports de código fuente para facilitar la corrección. Si no es posible actualizar de inmediato, existen mitigaciones parciales como ajustar memory_limit=-1, post_max_size bajo, y session.upload_progress.enabled=0, pero se advierte que estas medidas no ofrecen una protección completa y solo reducen la exposición a rutas de ataque específicas.
Qué significa para tu empresa: Ante la aparición de vulnerabilidades críticas como PHP2Shell y los intentos de explotación temprana, la capacidad de proteger las aplicaciones web es fundamental. Una estrategia proactiva incluye el despliegue de firewalls de aplicaciones web. Esto permite añadir una capa de seguridad esencial que inspecciona el tráfico HTTP/S, bloqueando ataques conocidos y emergentes antes de que lleguen a sus servidores y aplicaciones PHP, como parte de una defensa en profundidad en su WAF para aplicaciones.
Fuente original: The Hacker News — ver artículo →