Un grupo de empresas tecnológicas, entre las que se incluyen OpenAI, Wiz y Calif.io, reveló dos vulnerabilidades de seguridad críticas en el lenguaje de programación PHP, identificadas con los códigos CVE-2026-109618 y CVE-2026-109619, y conocidas colectivamente como php2shell. Estas vulnerabilidades afectan a todos los servidores web que ejecutan versiones de PHP 5.4 y posteriores, abriendo la puerta a riesgos de ejecución remota de código, denegación de servicio y filtración de datos sensibles.
Mecanismo de funcionamiento de las vulnerabilidades
Las vulnerabilidades php2shell surgen debido a un fallo en la forma en que PHP gestiona la memoria cuando se producen errores durante el procesamiento de solicitudes HTTP. En circunstancias normales, PHP asigna memoria para los datos solicitados y luego la libera; sin embargo, si el procesamiento se detiene de manera inesperada, el lenguaje puede fallar al limpiar la memoria de forma segura. Los atacantes explotan esta situación enviando solicitudes HTTP especialmente diseñadas para manipular la memoria no válida, lo que provoca fallos en los procesos o el acceso a datos no autorizados.
Respuesta técnica de Cloudflare
Cloudflare se adelantó al anuncio público de estas vulnerabilidades por aproximadamente 9 horas, desplegando reglas de protección a través de su firewall de aplicaciones web (WAF) para todos sus clientes, incluidos los usuarios de planes gratuitos. Por primera vez, la empresa utilizó una nueva capacidad técnica denominada "Detección de Transacción Completa" (Full Transaction Detection).
Esta tecnología va más allá de las reglas tradicionales que dependen únicamente del análisis de las solicitudes de los usuarios, ya que combina las señales derivadas de la solicitud y de la respuesta dentro de una sola transacción HTTP. Esto permite que el sistema bloquee la respuesta del servidor de origen si se determina que contiene indicadores de explotación, lo que reduce la probabilidad de falsos positivos y aumenta la precisión de la protección.
¿Qué cambia en la práctica para los usuarios?
- Protección automática: Las nuevas reglas se activaron automáticamente para todos los clientes de Cloudflare sin necesidad de intervención manual.
- Capas múltiples: A pesar de la disponibilidad de la protección WAF, la empresa enfatiza que esta defensa es una capa adicional y no sustituye la necesidad de que los administradores de sitios actualicen sus versiones de PHP de inmediato según las recomendaciones de los desarrolladores.
- Monitoreo continuo: Los analistas de seguridad de Cloudflare continúan monitoreando los intentos de explotación y actualizando las reglas para hacer frente a cualquier técnica de evasión que los atacantes puedan idear.
Los usuarios pueden revisar los registros de eventos a través del panel de control de Cloudflare (Security > Security Analytics > Events) para verificar la activación de la protección y realizar un seguimiento de cualquier intento de ataque repelido utilizando los identificadores de reglas especificados en la actualización de seguridad.