Evolución de los ataques de PHP2Shell
Apenas dos días después del lanzamiento de actualizaciones de emergencia para abordar las vulnerabilidades de PHP2Shell (registradas bajo los códigos CVE-2026-109618 y CVE-2026-109619), empresas de ciberseguridad detectaron intentos intensivos por parte de actores de amenazas para explotar estas vulnerabilidades y desplegar una variante de la conocida botnet Mirai. A pesar de la gravedad de las vulnerabilidades, que permiten la ejecución remota de código (RCE) y obtuvieron una puntuación CVSS v4.0 de 9.2, hasta ahora no se ha confirmado ninguna brecha exitosa en entornos reales.
Desafíos técnicos para los atacantes
Los análisis publicados por empresas como Sophos y Hunt.io indican que los atacantes se enfrentan a enormes dificultades para convertir estas vulnerabilidades en una explotación efectiva. Sansec explicó que las vulnerabilidades requieren un conocimiento preciso de las configuraciones del servidor y ciertas condiciones de ejecución, ya que la mayoría de las herramientas disponibles públicamente fallan al enfrentarse a configuraciones predeterminadas de PHP.
Por su parte, la empresa VulnCheck logró desarrollar una explotación que elude la técnica ASLR (aleatorización de la distribución del espacio de direcciones) en sistemas x86-64, una tecnología de protección de memoria que anteriormente se consideraba un obstáculo importante para los atacantes. Sin embargo, esta explotación sigue estando disponible exclusivamente para los clientes de la empresa, lo que refleja la brecha entre las herramientas públicas y las capacidades ofensivas avanzadas.
¿Qué cambia en la práctica?
- Complejidad de la explotación: Herramientas encontradas en los servidores de los atacantes (a través de SOCRadar) demostraron que los atacantes están realizando experimentos de laboratorio intensivos, pero no logran vulnerar servidores reales que no coinciden con sus entornos de prueba.
- Medidas de precaución: El temor ante estas vulnerabilidades llevó a numerosas organizaciones, incluidas entidades gubernamentales y educativas en Europa, a apagar temporalmente sus sistemas como medida preventiva mientras aplicaban las actualizaciones.
- Brecha de parcheo: Datos de Qualys revelaron un desafío significativo en la gestión de actualizaciones, ya que millones de copias de PHP siguen ejecutando versiones muy antiguas (End-of-Life) que no recibirán ningún parche de seguridad, dejándolas expuestas a riesgos a largo plazo.
Contexto de seguridad
Las vulnerabilidades fueron descubiertas en agosto pasado por Wiz, OpenAI y Calif, y el lanzamiento de actualizaciones (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35) se aceleró el 21 de octubre tras la filtración de los identificadores CVE. Aunque Amazon detectó intentos de explotación iniciales el 17 de octubre, la actividad de los ataques aún no se ha traducido en compromisos confirmados, lo que otorga a los administradores de sistemas una ventana crucial para aplicar las actualizaciones antes de que los atacantes desarrollen herramientas más eficientes.