Fallos del motor principal de PHP en PHP2Shell, riesgo para el código limpio

Tu aplicación puede pasar una revisión de código, escapar sus entradas y mantener su lógica de autenticación lo bastante ordenada como para que un auditor crea brevemente en la humanidad. Luego, el entorno de ejecución que hay debajo aún puede entregarle una palanca a un visitante no autenticado. Esa es la incómoda lección de PHP2Shell, el par de fallos de PHP registrados como CVE-2026-109618 y CVE-2026-109619.

El riesgo principal no es que todas las aplicaciones PHP hayan olvidado de repente cómo ser seguras. Es que el propio motor de PHP está dentro de la zona de impacto, lo que significa que un código de aplicación limpio puede estar situado sobre una capa de ejecución insegura. Las notas de parches suelen leerse como manuales de electrodomésticos, pero cuando un intérprete central recibe correcciones críticas, es que el sótano ha empezado a hacer ruidos.

Qué ocurrió por debajo del framework, según CISA y Huntress

CISA dijo que PHP2Shell permite la ejecución remota de código no autenticada en PHP y afecta a todas las instalaciones de PHP que atienden solicitudes web. Huntress dijo que las implementaciones expuestas incluyen PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El detalle crucial para los desarrolladores es la secuencia: Huntress describió una ruta de explotación en mod_php que puede activarse "antes de que se ejecute cualquier código de la aplicación". Ese es el giro argumental menos favorito del teatro de la seguridad, porque tu controlador nunca tiene la oportunidad de hacerse el valiente.

@title Ruta de solicitud de PHP2Shell
@source CISA
@source Wiz Blog

  Web request
     │
     ▼
  PHP core
     │
     ├→ Code execution
     └→ Memory disclosure

@caption El paso riesgoso ocurre en el propio PHP, por debajo del código de aplicación que los equipos suelen revisar.

BleepingComputer informó que PHP tenía previstas actualizaciones de seguridad de emergencia para el 21 de octubre a las 14:00 UTC, con ambos fallos calificados con 9,2 según CVSS v4.0. Huntress dijo más tarde que el equipo de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 alrededor de las 9:30 a. m. ET del 21 de octubre. CISA también dijo que no había observado explotación en el momento de la publicación, lo cual es un contexto útil, no un permiso para esperar hasta que el escáner deje de gritar.

Por qué un código de aplicación limpio no te salva, según Wiz y SANS

Wiz dijo que las vulnerabilidades están en el propio PHP, independientemente de la aplicación que se ejecute encima. Wiz también dijo que las versiones desde PHP 5.4 se ven afectadas por al menos uno de los fallos, y que los errores pueden permitir que atacantes no autenticados ejecuten código o lean memoria del proceso. Esa memoria puede contener contraseñas, tokens de autenticación, claves de API y certificados, lo que básicamente es el equivalente en tiempo de ejecución a dejar el archivador abierto durante un simulacro de incendio.

SANS describió de forma similar el problema como una vulnerabilidad del núcleo de PHP y dijo que se esperaba que las instalaciones predeterminadas de PHP fueran vulnerables. También advirtió que solo se esperaba que PHP 8 recibiera un parche, porque las versiones anteriores ya no tienen soporte. Aquí es donde el software heredado deja de parecer una estrategia de continuidad del negocio y empieza a parecer más una antigüedad embrujada con un cable de red.

La ventana de respuesta, según The Record y BleepingComputer

The Record informó que los errores pueden permitir la ejecución remota de código en sitios web sin parchear y que cientos de sitios web fueron desconectados mientras los administradores reaccionaban. También citó al equipo de seguridad de PHP instando a los usuarios a prepararse para poder actualizar tan pronto como la versión estuviera disponible. Esa es la versión responsable del pánico: breve, programada y, preferiblemente, seguida de una ventana de mantenimiento en lugar de un puente de incidentes.

BleepingComputer informó que los fallos fueron registrados como CVE-2026-109618 y CVE-2026-109619, y que los investigadores creían que afectaban a las versiones 5, 6, 7 y 8 de PHP. SANS dijo que las primeras orientaciones sugerían establecer session.upload_progress.enabled en Off como mitigación parcial, pero la palabra parcial está haciendo mucho trabajo ahí. La mitigación compra tiempo. El parche paga la cuenta.

Qué cambia realmente para los equipos, según CISA y SANS

CISA indicó a las organizaciones que identificaran e inventariaran los sistemas que ejecutan cualquier versión de PHP, y luego priorizaran el parcheo de los sistemas expuestos a internet. También advirtió que la "prevalencia puede no ser directamente observable" de PHP, porque puede estar integrado como componente de otro software. Traducción: si tu inventario de activos solo conoce el nombre de la aplicación, y no el entorno de ejecución que hay debajo, felicidades, has inventado el escondite para la respuesta a incidentes.

SANS señaló que muchos productos de firewall y router de código abierto usan PHP y recomendó no exponer las interfaces web de administración a internet. Ese consejo no es glamuroso, pero tampoco lo es explicar por qué un panel administrativo se convirtió en la puerta principal. El inventario de entornos de ejecución debería cubrir aplicaciones web basadas en PHP, sistemas de gestión de contenidos, interfaces web de administración y software de proveedores donde PHP pueda estar incluido por debajo del nombre del producto.

Qué significa realmente para ti

Si ejecutas PHP para atender solicitudes web, pasa a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, como recomienda CISA. Si estás en PHP 8.1 o anterior, trátalo como un problema de entorno de ejecución sin soporte, no simplemente como un elemento pendiente en el backlog de desarrollo. La lección para quienes construyen software es más grande que este par de CVE: la seguridad de aplicaciones tiene que incluir el intérprete, la integración con el servidor web y las dependencias silenciosas de la plataforma que ejecutan código antes de que tu código pueda presentarse.

Lo siguiente que hay que vigilar es si los productos derivados publican sus propias actualizaciones y si los inventarios de activos pueden realmente encontrar PHP cuando está metido dentro de otro software. No hace falta música de catástrofe. Solo parchea el entorno de ejecución, verifica la versión en ejecución, reduce la exposición innecesaria a internet y añade los motores de lenguaje a la lista de cosas que tu programa de seguridad trata como infraestructura de producción en lugar de fontanería.