PHP2Shell ya se explota en ataques: CISA urge a corregir los fallos de PHP
CISA ha confirmado que las dos vulnerabilidades de PHP conocidas como PHP2Shell ya se están explotando en ataques. La agencia ha incorporado ambos fallos a su catálogo de vulnerabilidades explotadas y ha fijado un plazo de corrección para las agencias federales estadounidenses.
Los parches están disponibles desde el 21 de octubre, pero la evolución de los ataques cambia la prioridad para quienes todavía no los han aplicado. El problema afecta al software que ejecuta muchas páginas web y puede permitir que un atacante ejecute código en un servidor sin iniciar sesión.
CISA fija el 29 de octubre como plazo para las agencias federales
La agencia estadounidense incorporó CVE-2026-109618 y CVE-2026-109619 a su catálogo KEV el lunes 26 de octubre. Esa lista reúne vulnerabilidades con explotación conocida y se utiliza para priorizar las correcciones frente a amenazas que ya se materializan.
Las agencias civiles del poder ejecutivo federal de Estados Unidos deberán proteger sus sistemas antes del jueves 29 de octubre, conforme a la directiva aplicable. Es una obligación para ese ámbito administrativo, aunque CISA anima al resto de organizaciones a priorizar también los fallos incluidos en KEV.
El cambio es importante respecto a las primeras alertas: varias compañías habían registrado intentos de ataque, pero los habían considerado fallidos. Detectar tráfico que intenta aprovechar una vulnerabilidad y demostrar que consigue ejecutar código son evidencias distintas.
El episodio ya había provocado preocupación y cierres preventivos, como contamos en nuestra primera noticia sobre PHP2Shell y la desconexión de páginas web. La confirmación de explotación añade ahora un motivo concreto para acelerar la revisión de los servidores pendientes.
Dos errores de memoria que pueden permitir ejecutar código a distancia
PHP2Shell agrupa dos problemas críticos que pueden permitir ejecución remota de código sin autenticación. Su explotación tiene una complejidad elevada y depende de condiciones técnicas concretas, pero esa dificultad no elimina el riesgo ni convierte una instalación vulnerable en segura.
La CVE-2026-109618 está relacionada con el tratamiento de errores por falta de memoria. Una interrupción puede dejar estructuras internas parcialmente inicializadas y provocar que, al finalizar la solicitud, PHP trate datos inválidos como si fueran válidos.
La CVE-2026-109619 afecta a estado interno que puede sobrevivir a una petición aunque la memoria asociada ya se haya liberado. Otra solicitud atendida por el mismo proceso puede utilizar ese estado obsoleto; el impacto puede alcanzar los privilegios con los que trabaja el proceso web.
Adel Karimi, responsable de detección y respuesta en Perplexity, documentó explotación en un servidor señuelo con Apache mod_php y PHP 8.4.26. La evidencia corresponde a una configuración favorable de un solo proceso y no mide la fiabilidad del ataque en cualquier despliegue; CISA tampoco ha publicado todavía detalles completos de las campañas.
Qué versiones de PHP corrigen PHP2Shell
El proyecto PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir ambos fallos. Esas son las referencias de actualización de cada rama, aunque quienes utilizan paquetes de una distribución deben comprobar también los avisos de su proveedor.
El alcance incluye instalaciones que atienden peticiones web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los responsables de PHP consideran especialmente elevado el riesgo en mod_php, donde se ha demostrado una vía de ataque anterior a la ejecución del código de la aplicación.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones ordinarias del proyecto. Algunos proveedores de distribuciones o soporte prolongado ofrecen correcciones adaptadas, y PHP ha facilitado parches mínimos de código fuente para 7.4, 8.0 y 8.1; eso no equivale a recuperar su soporte general.
Para el propietario de una web, la comprobación debe centrarse en el intérprete PHP que ejecuta realmente el servicio. Actualizar el gestor de contenidos o sus complementos no cambia por sí solo ese componente: si el alojamiento lo administra un tercero, conviene pedirle confirmación de la corrección instalada.
Los intentos comenzaron antes de los parches y hay otro aviso pendiente
Amazon observó actividad dirigida a estos fallos cuatro días antes de publicarse las correcciones. Cloudflare, Hadrian, watchTowr, Previdian y Patchstack también detectaron intentos tempranos; esos informes iniciales no deben reinterpretarse como prueba de que todos los ataques tuvieron éxito.
La dimensión potencial es considerable. Las estimaciones de VirusTotal citadas en la información sitúan en más de 5,1 millones los hosts PHP expuestos en Internet y alrededor de 3,8 millones los que presentan al menos un puerto abierto a ataques; son cifras de exposición, no un recuento de equipos comprometidos.
Además, el equipo de PHP publicó el 23 de octubre un aviso sobre CVE-2026-115560, otra vía de ejecución de código vinculada al seguimiento del progreso de subida de archivos. Requiere una combinación poco habitual de configuración y cambios del serializador de sesiones durante la ejecución, y se prevé corregirla en el siguiente ciclo ordinario.
Para ese escenario, PHP recomienda session.upload_progress.enabled=0 hasta la corrección; si ya se aplicó, aconseja mantenerlo. Frente a los dos fallos originales, los cambios de configuración solo reducen determinadas vías de exposición y no sustituyen los parches: desactivar el seguimiento de subidas tampoco convierte por sí solo una versión antigua en segura.
