Informes técnicos han confirmado que los atacantes han logrado explotar vulnerabilidades críticas de seguridad conocidas como PHP2Shell (registradas bajo los identificadores CVE-2026-109618 y CVE-2026-109619) para ejecutar comandos de forma remota (RCE) en entornos de producción reales.
Esta confirmación se produjo tras la detección de actividad maliciosa por parte de Adel Karimi, jefe de detección y respuesta en Perplexity, donde las trampas de red o "honeypots" registraron pruebas concluyentes de la ejecución de comandos remotos contra una instalación de Apache mod_php que ejecutaba la versión PHP 8.4.26. Karimi explicó que el ataque no se limitó a causar la caída del sistema, sino que incluyó una divulgación de memoria que permitió a los atacantes extraer datos y utilizarlos en cargas útiles de ejecución posteriores.
Evolución de los ataques, del análisis a la intrusión
Aunque varias empresas de ciberseguridad, como Cloudflare y Patchstack, habían detectado intentos de explotación de estas vulnerabilidades antes de su divulgación, dichos intentos se clasificaban como infructuosos o meras operaciones de escaneo y toma de huellas dactilares. Sin embargo, el descubrimiento de Karimi, también confirmado por el investigador de amenazas Marcus Hutchins de Expel, representa un cambio peligroso desde la fase de exploración de vulnerabilidades hasta la fase de intrusión real y exitosa.
¿Por qué representa esta noticia un grave peligro?
La gravedad radica en la amplia adopción de PHP, ya que las estimaciones de VirusTotal indican que impulsa aproximadamente el 70% de todos los sitios web en Internet, con más de 5,1 millones de hosts que ejecutan PHP expuestos a Internet. Esto significa que cualquier vulnerabilidad que permita la ejecución remota de comandos en este lenguaje abre la puerta a ataques a gran escala que podrían apuntar a la infraestructura digital global.
Advertencia sobre una nueva vulnerabilidad y medidas de protección
Junto con la mitigación de las vulnerabilidades PHP2Shell, el equipo de seguridad de PHP advirtió sobre una nueva vulnerabilidad de RCE (CVE-2026-115560) que aún no cuenta con un parche y afecta a sistemas con configuraciones y aplicaciones no convencionales. Para proteger los sistemas, se recomienda seguir las siguientes medidas:
- Actualizar PHP inmediatamente: Los administradores de sistemas deben instalar las actualizaciones de seguridad lanzadas por el equipo de PHP el 21 de octubre para solucionar las vulnerabilidades PHP2Shell.
- Medida preventiva urgente: Para hacer frente a la nueva vulnerabilidad (CVE-2026-115560) que actualmente carece de parche, se recomienda deshabilitar la función de carga de archivos a través de sesiones configurando el siguiente parámetro en el archivo de configuración: session.upload_progress.enabled=0.