N環球 
"PHP2Shell": PHP envía parches de emergencia para dos fallas críticas de CVSS-9.2 que permiten la ejecución remota de código no autenticado
PHP lanzó actualizaciones de emergencia el 21 de octubre para corregir dos fallas críticas denominadas colectivamente PHP2Shell (CVE-2026-109618, CVE-2026-109619), encontradas por investigadores de Wiz, Calif y OpenAI. Los detalles se filtraron antes de la divulgación coordinada y Cloudflare observó ataques reales antes de que se enviara el parche. Todas las instalaciones de PHP que atienden solicitudes web se ven afectadas.
Por qué es importante
Esta es una de las vulnerabilidades web más graves en años. PHP impulsa una gran parte de los sitios web del mundo (WordPress, Drupal, Joomla), y esta vez la falla reside en el propio motor del lenguaje: incluso un sitio perfectamente escrito no ofrece protección. Un atacante no necesita una cuenta; una sola solicitud puede generar la ejecución de código en el servidor.
También es la ilustración más clara hasta el momento del doble papel de la IA en la investigación de seguridad: Wiz dice que las fallas habían estado al acecho durante décadas, y demostrar la explotabilidad requería una cadena "al borde de lo que los investigadores humanos podrían lograr prácticamente". Los modelos de inteligencia artificial de Frontier redujeron sustancialmente esa barrera, convirtiendo una falla de larga data en un exploit funcional.
Informe completo
El equipo de seguridad de PHP lanzó actualizaciones de emergencia el 21 de octubre reparando CVE-2026-109618 y CVE-2026-109619, ambos con clasificación CVSS v4.0 9.2 y denominados colectivamente PHP2Shell. Ambos surgen de un estado de memoria corrupto cuando una solicitud finaliza de manera anormal, y ambos pueden ser explotados por atacantes no autenticados para lograr la ejecución remota de código.
Todas las instalaciones de PHP que atienden solicitudes web se ven afectadas, incluidas PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo dice que el riesgo es mayor para mod_php, donde un exploit demostrado se activa antes de que se ejecute cualquier código de aplicación. Una falla puede incluso permitir que un atacante lea la memoria del trabajador que contiene contraseñas, tokens y claves API de otras solicitudes.
Los fallos fueron encontrados por investigadores de Wiz, California, OpenAI (un socio de su programa Patch the Planet) y Quarkslab. Los detalles técnicos se filtraron el 20 de octubre antes de la divulgación coordinada planificada, lo que llevó a PHP a lanzarse un día antes. Cloudflare dijo que observó tráfico de ataques contra sus clientes antes de que se enviara el parche y activara las reglas WAF el 21 de octubre. Varios sitios holandeses y japoneses (incluido el servicio holandés DigiD y el sitio web de la Cámara de Representantes) se desconectaron como medida de precaución.
Se insta a los administradores a actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 inmediatamente; PHP 7 y versiones anteriores ya no reciben actualizaciones oficiales.
💬 Comments
No comments yet. Be the first!