Fallos en PHP movilizan a las empresas a resguardar instalaciones de TI
Dos vulnerabilidades críticas en PHP (Tecnología utilizada en el funcionamiento de sitios Web y aplicaciones corporativas) han puesto en alerta a los equipos de tecnología y seguridad esta semana. Identificadas como CVE-2026-109618 y CVE-2026-109619, y denominadas colectivamente «PHP2Shell», estos fallos permiten a los atacantes ejecutar código de forma remota, sin autenticación, mediante el uso de peticiones Web especialmente diseñadas. Los parches de seguridad fueron publicados el 21 de octubre, detalló Tanium.
El problema reside en el núcleo de PHP, no en un plugin o aplicación específica. Ambas vulnerabilidades han obtenido una puntuación de 9,2 en el sistema de clasificación de gravedad CVSS v4.0. El comunicado oficial del proyecto recomienda una actualización inmediata y señala que las instalaciones de Apache con `mod_php` presentan el mayor riesgo, ya que es posible explotar la vulnerabilidad incluso antes de que se ejecute el código de la propia aplicación.
El primer fallo implica una corrupción de la memoria durante el procesamiento de peticiones, incluidas aquellas utilizadas para la carga de archivos. El segundo permite que una petición posterior utilice información interna asociada a un segmento de memoria que ya ha sido liberado. En la práctica, estos comportamientos pueden facilitar la ejecución de código malicioso en instalaciones vulnerables.
El desafío comienza antes de la aplicación del parche
Aunque las actualizaciones ya están disponibles, localizar todos los entornos que requieren ser actualizados puede resultar la parte más compleja de la respuesta. En un análisis sobre el caso, Tanium, destaca que PHP puede estar presente en servidores, contenedores, herramientas de desarrollo y aplicaciones de terceros, e incluso en estaciones de trabajo.
En Windows, por ejemplo, esta tecnología puede estar distribuida dentro de una carpeta o integrada en otro software, sin aparecer en la lista de programas instalados. En aplicaciones que incluyen su propia copia de PHP, actualizar únicamente los paquetes del sistema operativo puede dejar intacta la versión vulnerable.
Esta dispersión exige que las empresas combinen el inventario de software, la identificación de archivos y el análisis de los procesos en ejecución. También es necesario distinguir entre una instalación presente en el equipo y un servicio que efectivamente recibe peticiones a través de Internet; una distinción que influye en la prioridad de la respuesta.
Los intentos de explotación aumentan la urgencia
Según un análisis de Tanium, publicado el pasado 21 de octubre, ya se habían reportado intentos de explotación en entornos de monitorización. La viabilidad de los ataques varía en función de la configuración y la plataforma, pero esta diferencia no elimina la necesidad de corregir las instalaciones afectadas.
La recomendación es priorizar los servicios expuestos a Internet, especialmente aquellos entornos que utilizan mod_php y sistemas ARM64. La investigación también debe tener en cuenta los registros recientes de los servidores, buscando cierres inesperados de procesos y peticiones de carga de archivos (uploads) inusuales. Estos eventos deben analizarse dentro de su contexto, ya que, por sí solos, no confirman una intrusión.
Para facilitar esta labor, Tanium señala que su contenido *Guardian* para PHP2Shell combina sensores de aplicaciones instaladas, identificación de copias de PHP en Windows y detección de procesos en ejecución. El objetivo es ayudar a los equipos a localizar instalaciones que podrían pasar desapercibidas en un inventario convencional y orientar las tareas de corrección.
Actualización y verificación
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las empresas que utilicen paquetes mantenidos por distribuciones de Linux o proveedores de aplicaciones deben consultar los comunicados correspondientes, ya que la corrección podría haberse incorporado al paquete sin seguir la misma numeración que las versiones oficiales del proyecto.
Tras la actualización, es necesario reiniciar los procesos pertinentes para que se cargue el código corregido. Cuando no sea posible una aplicación inmediata, restringir la exposición de los servicios puede reducir el riesgo temporalmente. El proyecto PHP subraya, no obstante, que las medidas de mitigación parciales no sustituyen a la actualización.
Para las empresas, la respuesta ante PHP2Shell consiste en completar todo el ciclo: descubrir dónde está presente la tecnología, identificar los entornos más expuestos, aplicar las correcciones y verificar que las instancias en ejecución utilicen el código actualizado.
WhatsApp eSemanal 55 7360 5651
También te puede interesar:
Vulnerabilidades en PHP ponen el foco en la respuesta de seguridad de las organizaciones
Nueve de cada diez organizaciones reportan incidentes de seguridad con agentes de IA
IA y privacidad, el nuevo equilibrio de la seguridad física
