El equipo de seguridad del lenguaje PHP ha lanzado actualizaciones de seguridad de emergencia para abordar dos vulnerabilidades críticas de ejecución remota de código (RCE), las cuales son rastreadas bajo el nombre PHP2Shell. Las vulnerabilidades llevan los identificadores CVE-2026-109618 y CVE-2026-109619, y permiten a atacantes no autorizados tomar el control de los servidores afectados.
Detalles de las vulnerabilidades y su impacto
Estas vulnerabilidades fueron descubiertas mediante esfuerzos conjuntos de investigadores de las empresas Calif, OpenAI y Wiz. La gravedad de estas fallas radica en que afectan a todos los entornos de ejecución de PHP que sirven solicitudes web, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
El equipo de seguridad de PHP explicó que el mayor riesgo reside en las configuraciones de mod_php, donde un atacante no autorizado puede ejecutar un ataque antes de que se inicie cualquier código de la aplicación. Ambas vulnerabilidades provienen de un problema fundamental relacionado con dejar la memoria en un estado corrupto cuando una solicitud finaliza de manera anormal, lo que abre la puerta a su explotación para la ejecución remota de código.
Acciones requeridas para los administradores
Los administradores de sistemas deben actualizar sus servidores inmediatamente a las siguientes versiones seguras: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Para las versiones más antiguas (7.4, 8.0, 8.1) que ya no reciben actualizaciones oficiales, el equipo de PHP ha proporcionado parches (backports) para ayudar a asegurar los sistemas que aún dependen de estas versiones.
¿Por qué es importante esta noticia?
El lenguaje PHP es la columna vertebral de aproximadamente el 75% al 80% de los sitios web a nivel mundial, incluyendo plataformas populares como WordPress y Drupal. Dado que existen más de 5 millones de servidores PHP expuestos a Internet, la explotación de estas vulnerabilidades representa una amenaza a gran escala. La empresa Cloudflare ha confirmado que ya ha detectado intentos tempranos de explotación de estas vulnerabilidades, lo que llevó al Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) a emitir una advertencia urgente a las organizaciones sobre la necesidad de actualizar inmediatamente o desconectar los sistemas de la red.
Medidas de mitigación temporales
En caso de que la actualización inmediata no sea posible, el equipo de seguridad de PHP ha proporcionado algunas medidas de mitigación para reducir las oportunidades de explotación, entre ellas:
- Para la vulnerabilidad CVE-2026-109618: establecer memory_limit en -1 y reducir post_max_size a 8 MB (o 32 MB si es necesario para la carga de archivos).
- Para la vulnerabilidad CVE-2026-109619: establecer session.upload_progress.enabled en 0, y en la versión 8.5 establecer fatal_error_backtraces en 0 junto con el reinicio de los trabajadores (workers).
Los desarrolladores enfatizan que estas medidas no ofrecen una protección completa y que la actualización oficial es el único medio para garantizar la seguridad del servidor de forma permanente.