La Agencia de Ciberseguridad y de Infraestructura de los Estados Unidos (CISA) ha incluido dos vulnerabilidades críticas en el lenguaje de programación PHP, conocidas colectivamente como vulnerabilidades PHP2Shell, en su catálogo de vulnerabilidades de seguridad explotadas en ataques reales.
Detalles de las vulnerabilidades y ataques activos
Las dos vulnerabilidades, que llevan los identificadores (CVE-2026-109618) y (CVE-2026-109619), permiten a atacantes sin privilegios previos ejecutar ataques de alta complejidad destinados a la ejecución remota de código (RCE) en sistemas que no han recibido las actualizaciones de seguridad necesarias. Los equipos de seguridad del lenguaje PHP lanzaron las actualizaciones de software necesarias para cerrar ambas vulnerabilidades en octubre, tras detectar intentos de explotación a gran escala por parte de varias empresas de seguridad antes del anuncio público.
A pesar de la filtración de detalles de las vulnerabilidades y la publicación de algunos códigos de prueba de concepto (PoC) en Internet antes del lanzamiento de los parches oficiales, el equipo de seguridad de PHP confirmó que dichos intentos no fueron efectivos al principio. Sin embargo, múltiples empresas de seguridad, incluidas Amazon y Cloudflare, documentaron intentos de explotación dirigidos a las vulnerabilidades incluso pocos días antes del lanzamiento de las actualizaciones oficiales.
Directivas urgentes para entidades gubernamentales
Tras estos acontecimientos, la agencia CISA añadió las vulnerabilidades al catálogo de vulnerabilidades explotadas conocidas (KEV) y obligó a las agencias de la Rama Ejecutiva Civil Federal (FCEB) a asegurar sus sistemas y aplicar los parches necesarios de acuerdo con la Directiva Operativa Vinculante (BOD 26-04). La agencia advirtió que esta categoría de vulnerabilidades constituye una ruta de ataque común que amenaza directamente a las infraestructuras y organizaciones federales.
¿Qué representa este desarrollo en la práctica?
Estas actualizaciones adquieren una importancia crítica debido a la amplia difusión del lenguaje PHP, ya que las estimaciones de la plataforma VirusTotal indican que PHP impulsa alrededor del 70% de los sitios web a nivel mundial, con millones de hosts expuestos al riesgo. Este movimiento de campo de la agencia estadounidense y la rapidez de respuesta de los equipos de respuesta ante incidentes reflejan la necesidad de que las organizaciones técnicas adopten planes de gestión de vulnerabilidades basados en riesgos para abordar de inmediato cualquier vulnerabilidad crítica cuya explotación en el entorno digital sea confirmada.