PHP ha publicado parches de urgencia para corregir dos vulnerabilidades críticas, agrupadas bajo el nombre PHP2Shell, que permiten la ejecución remota de código sin autenticación. Dado que ya se han detectado intentos de explotación activa, la recomendación es actualizar y reiniciar los servicios cuanto antes.
La comunidad de PHP ha liberado actualizaciones de emergencia destinadas a servidores que ejecutan versiones vulnerables del runtime. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, alcanzan una puntuación de 9,2 en CVSS v4.0 y llegan en un momento delicado: circulan intentos de explotación y ya se han observado ajustes en las cargas maliciosas para esquivar reglas de WAF.
Un aspecto que inquieta a los administradores es que la exposición no depende del código de la aplicación web. No se necesita una aplicación sofisticada ni un endpoint especial: basta con que el servidor ejecute una rama afectada del motor para que pueda ser atacado, incluso si solo sirve páginas triviales. En la práctica, el riesgo depende de cómo esté desplegado PHP y aumenta de forma notable en Apache con mod_php, donde se ha demostrado un vector capaz de activarse antes de que el código de la aplicación llegue a ejecutarse.
La superficie afectada es amplia e incluye PHP-FPM, php-cgi, FrankenPHP, LiteSpeed y, de manera destacada, Apache mod_php. CVE-2026-109618 describe una cadena de fallos que desemboca en corrupción por falta de memoria y puede conducir a la ejecución de código con los permisos del proceso web. CVE-2026-109619, por su parte, responde a un problema de estado global obsoleto con consecuencias típicas de use-after-free, que puede traducirse en divulgación de memoria y, en determinados escenarios, en ejecución de código con los privilegios del worker.
Esa capacidad de divulgación añade una capa extra de riesgo: un atacante podría extraer información sensible que el proceso mantenga en RAM, como contraseñas, tokens, claves API o incluso certificados, en función de las peticiones concurrentes y del comportamiento del servidor.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La actualización no termina con la instalación del paquete: es necesario reiniciar Apache, PHP-FPM y cualquier worker persistente para garantizar que los procesos carguen el runtime parcheado. Quienes dependan de una distribución Linux o de un proveedor con soporte extendido deben revisar el changelog del paquete, porque algunos mantenedores aplican parches sin reflejarlo de forma evidente en el número de versión.
Para entornos donde no se pueda actualizar de inmediato existen medidas de contención, aunque no cierran el problema. Frente a CVE-2026-109618 se recomienda fijar memory_limit=-1 de modo que la aplicación no lo sobrescriba, mantener post_max_size en valores bajos y limitar el tamaño de las peticiones en el servidor web o en el proxy. También conviene evitar RLIMIT_AS o RLIMIT_DATA como sustitutos de los límites de memoria, ya que pueden activar rutas vulnerables. Para CVE-2026-109619, una mitigación consiste en desactivar session.upload_progress.enabled y reiniciar todos los workers. En PHP 8.5, otra contención parcial pasa por desactivar fatal_error_backtraces y reiniciar los procesos.
Tras aplicar el parche, los equipos deben vigilar cambios de comportamiento: la corrección introduce un límite duro de memoria y alcanzarlo puede terminar procesos y saltarse los manejadores de apagado. En paralelo, conviene monitorizar señales compatibles con intentos de explotación, como peticiones multipart anómalas seguidas de errores de límite de memoria, oleadas de HTTP 500, cookies PHPSESSID inusualmente grandes o reinicios inexplicables de workers. En un ecosistema donde PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto, la modernización de versiones vuelve a ser una cuestión de seguridad, y no solo de mantenimiento.
Para más información pueden consultarse el artículo de The Hacker News, «PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge» (https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html?m=1), y el de BleepingComputer, «PHP ships emergency patches for critical PHP2Shell flaws» (https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/). La información original fue publicada por Una Al Día.
Con Información de unaaldia.hispasec.com
