CISA confirma la explotación activa de PHP2Shell, la mayor vulnerabilidad del momento

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), ha confirmado la explotación activa de las vulnerabilidades de PHP2Shell y las ha añadido a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Una nueva alerta mundial de un caso que ha puesto en jaque a todo Internet y obligado a tomar medidas de emergencia para proteger millones de sitios web.

La incorporación de estas dos vulnerabilidades al catálogo KEV se produce después de que Adel Karimi, responsable de detección y respuesta en Perplexity, confirmara el 24 de octubre de 2026 casos de ejecución remota de código contra sistemas honeypot. «Ahora se confirma la ejecución remota de código con divulgación de memoria utilizable, no solo un fallo seguido de un proceso sospechoso», dijo Karimi . «La respuesta entregó un volcado de cookies decodificado de 800 KiB, y una dirección de función derivada de ese volcado utilizando los desplazamientos del exploit público aparece en la carga útil de ejecución posterior».

PHP2Shell, gravedad extrema

PHP es un lenguaje de programación del lado del servidor utilizado en aproximadamente el 70% de todos los sitios web de Internet y de ahí la alerta mundial por PHP2Shell, un incidente que tiene su origen en dos vulnerabilidades del motor del lenguaje de programación, ambas calificadas con 9.2 en el sistema de puntuación CVSS:

• CVE-2026-109618 : una vulnerabilidad de corrupción por falta de memoria que permite la ejecución remota de código sin autenticación.
• CVE-2026-109619 : una vulnerabilidad de estado de solicitud interna obsoleta que permite la ejecución remota de código sin autenticación.

La historia de PHP2Shell comenzó en 2024 durante una auditoría de seguridad, aunque hasta el pasado agosto no se había demostrado que pudiera utilizarse para ejecutar código de forma remota. Además, su corrección planteaba dificultades técnicas importantes, tanto por la complejidad del motor de PHP como por el riesgo de introducir incompatibilidades. El resultado fue que una debilidad conocida permaneció durante años sin una solución definitiva.

Pero la situación ha explotado, nunca mejor dicho. La gravedad de la situación ha motivado numerosas advertencias por parte de proveedores de software y seguridad y agencias gubernamentales de todo el mundo. Aunque las vulnerabilidades se parchearon la semana pasada y la CISA ha ordenado a las agencias federales que actualicen los sistemas antes del 29 de octubre de 2026 para aplicar las correcciones necesarias, según estimaciones de Censys, más de 32,51 millones de servicios PHP aún utilizan una versión afectada.

La confirmación de la explotación real de estas vulnerabilidades debería servir como alerta definitiva de la necesidad de actualizar sistemas con urgencia. Las vulnerabilidades permiten ejecutar código de forma remota sin necesidad de autenticación, incluso cuando las aplicaciones afectadas están correctamente desarrolladas.

Aunque no todas las instalaciones presentan el mismo nivel de exposición, su alcance es enorme porque PHP constituye la base de tecnologías tan extendidas como WordPress, Drupal, Joomla o MediaWiki. La amenaza reside en la infraestructura que permite ejecutar esas aplicaciones, lo que multiplica considerablemente su alcance potencial.

Se recomienda actualizar PHP a una de las versiones que corrigen las vulnerabilidades: 8.2.35, 8.3.36, 8.4.27 o 8.5.12, según la rama utilizada, y hasta su implementación, aislar temporalmente las instalaciones expuestas, especialmente aquellas accesibles desde Internet.