Seguridad · 24 de octubre de 2026
También publicado en Indonesia, Polski, Norsk, Français, Nederlands
PHP lanza parches de emergencia para dos vulnerabilidades críticas que permiten ejecución remota de código
El proyecto PHP ha publicado actualizaciones urgentes para corregir dos fallos de seguridad críticos en su entorno de ejecución, conocidos colectivamente como PHP2Shell, los cuales permiten a atacantes sin credenciales ejecutar código arbitrario en servidores web. Estas vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a casi todas las versiones del lenguaje desde la 5.4 en adelante y han sido explotadas activamente según reportes de empresas de seguridad.
Los defectos residen directamente en el motor interno de PHP y no en el código de las aplicaciones, lo que significa que incluso sitios web con programación segura o páginas estáticas simples son susceptibles a los ataques. Todas las configuraciones de PHP que sirven contenido web, incluyendo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed, se ven comprometidas. Los sistemas que utilizan Apache mod_php presentan el riesgo más alto, ya que se ha demostrado un exploit que requiere una única solicitud sin autenticación y se ejecuta antes de que cargue cualquier código de la aplicación.
La investigación realizada por Wiz Research, Calif y el equipo de seguridad Codex de OpenAI asignó a ambas vulnerabilidades una puntuación de 9.2 en la escala CVSS versión 4.0. Mientras que la primera falla tiene un vector de ataque completo demostrado solo en mod_php, la segunda vulnerabilidad ha sido confirmada como capaz de ejecutar código tanto en mod_php como en PHP-FPM, aunque esta última ruta depende de ciertas interacciones dentro de la aplicación. Además, los atacantes pueden leer la memoria de los procesos trabajadores de PHP sin necesidad de ejecutar código previo, exponiendo potencialmente contraseñas, tokens de autenticación, claves de API y certificados.
Las versiones parcheadas disponibles son la 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para versiones anteriores como la 7.4, 8.0 y 8.1, que ya no reciben soporte oficial directo, el equipo de seguridad de PHP ha publicado el código fuente para que los mantenedores puedan aplicar las correcciones. Se advierte que actualizar aplicaciones como WordPress o Laravel no soluciona el problema, ya que el entorno de ejecución proviene del paquete del servidor o de la imagen del contenedor, requiriendo una actualización específica del runtime de PHP.
Observadores de la industria como watchTowr y Cloudflare han detectado intentos de explotación en la naturaleza, con atacantes modificando sus cargas útiles para evadir las reglas de los firewalls de aplicaciones web. Aunque no se han confirmado intrusiones exitosas a gran escala, se recomienda a los administradores monitorear solicitudes multipart anómalas seguidas de errores de límite de memoria, reinicios inexplicables de trabajadores de PHP y cookies de sesión de tamaño inusual. La única solución definitiva es la actualización inmediata del software, seguida del reinicio de todos los servicios relacionados.
Como medidas temporales parciales, se sugiere configurar límites estrictos de memoria y tamaño de solicitud, así como deshabilitar funciones específicas de progreso de subida de sesiones, aunque estas acciones no bloquean todas las vías de ataque posibles. Los proveedores de distribuciones de Linux con soporte a largo plazo podrían haber integrado ya estos parches en versiones antiguas del paquete, por lo que se debe verificar el registro de cambios buscando los identificadores de las vulnerabilidades en lugar de confiar únicamente en el número de versión del software.