PHP ha lanzado parches de urgencia para dos vulnerabilidades críticas agrupadas como PHP2Shell que permiten ejecución remota de código sin autenticación. Ya se han detectado intentos de explotación activa, así que la recomendación es actualizar y reiniciar servicios cuanto antes.
La comunidad de PHP ha publicado actualizaciones de emergencia para corregir dos vulnerabilidades críticas, conocidas de forma conjunta como PHP2Shell, que permiten ejecución remota de código sin autenticación en servidores que ejecutan versiones vulnerables del runtime. Los fallos, catalogados como CVE-2026-109618 y CVE-2026-109619, alcanzan una puntuación de 9,2 en CVSS v4.0 y llegan en un momento delicado: ya circulan intentos de explotación y se han visto ajustes de carga maliciosa para esquivar reglas de WAF.
El matiz que preocupa a los administradores es que la exposición no depende del código de la web. No hace falta una aplicación compleja ni un endpoint ‘especial’. Si el servidor ejecuta una rama afectada del motor, puede resultar atacable incluso con páginas triviales. En la práctica, el foco recae en cómo se despliega PHP: el riesgo operativo sube especialmente en Apache con mod_php, donde se ha demostrado un vector capaz de activarse antes de que llegue a ejecutarse el código de la aplicación.
La superficie afectada es amplia e incluye PHP-FPM, php-cgi, FrankenPHP, LiteSpeed y, de forma destacada, Apache mod_php. En CVE-2026-109618 se describe una cadena de fallos que acaba en corrupción por falta de memoria y puede desembocar en ejecución de código con los permisos del proceso web. CVE-2026-109619 apunta a un problema de estado global obsoleto con consecuencias típicas de use-after-free, que pueden traducirse en divulgación de memoria y, en determinados escenarios, ejecución de código con privilegios del worker.
Ese punto de divulgación de memoria añade otra capa de riesgo: un atacante podría extraer información sensible que el proceso tenga en RAM, como contraseñas, tokens, claves API o incluso certificados, en función de las peticiones concurrentes y del comportamiento del servidor.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Tras actualizar no basta con ‘instalar el paquete’: conviene reiniciar Apache, PHP-FPM y cualquier worker persistente para asegurar que el proceso ya carga el runtime parcheado. Quien dependa de una distribución Linux o de un proveedor con soporte extendido debe revisar el changelog del paquete, porque algunos mantenedores aplican parches sin reflejarlo de forma obvia en el número de versión.
Para entornos donde no se pueda actualizar de inmediato, existen medidas de contención, aunque no cierran el problema. Para CVE-2026-109618 se recomienda fijar memory_limit=-1 de forma que la aplicación no lo sobrescriba, mantener post_max_size bajo y limitar el tamaño de las peticiones en el servidor web o en el proxy. También conviene evitar RLIMIT_AS o RLIMIT_DATA como sustitutos de límites de memoria, porque pueden activar rutas vulnerables. Para CVE-2026-109619, una mitigación consiste en desactivar session.upload_progress.enabled y reiniciar todos los workers. En PHP 8.5, otra contención parcial pasa por desactivar fatal_error_backtraces y reiniciar procesos.
Después del parche, los equipos deben vigilar cambios de comportamiento: la corrección introduce un límite duro de memoria y alcanzarlo puede terminar procesos y saltarse manejadores de apagado. En paralelo, merece la pena monitorizar señales compatibles con intentos de explotación, como peticiones multipart anómalas seguidas de errores de límite de memoria, oleadas de HTTP 500, cookies PHPSESSID inusualmente grandes o reinicios inexplicables de workers. En un ecosistema donde PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto, la presión por modernizar versiones vuelve a convertirse en una cuestión de seguridad, no solo de mantenimiento.
Más información
- The Hacker News – PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge : https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html?m=1
- BleepingComputer – PHP ships emergency patches for critical PHP2Shell flaws : https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
Deja una respuesta