PHP2Shell: Amazon alerta sobre vulnerabilidades críticas

El proyecto PHP publicó este miércoles (21), alrededor de las 14:00 UTC, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas de ejecución remota de código, registradas como CVE-2026-109618 y CVE-2026-109619, llamadas PHP2Shell. Las fallas permiten que un atacante sin autenticación ejecute código en el servidor y recibieron una calificación de 9,2 en el CVSS v4.0, según Wiz Research, que las descubrió, y el aviso de Qualys.

La corrección salió antes de lo previsto. Los detalles de las fallas se filtraron el 20 de octubre, junto con una nota 10,0 que circuló sin confirmación oficial, y PHP adelantó 24 horas la divulgación coordinada. Según Amazon Threat Intelligence, los honeypots de la empresa registraron un intento de explotación el 17 de octubre, cuatro días antes del aviso público. Amazon describe ahora la explotación como amplia.

El tamaño de la superficie expuesta

Wiz afirma que PHP2Shell alcanza alrededor del 70% de Internet, estimación que coincide con la cuota de sitios servidos por PHP. Según la empresa, todas las versiones a partir de PHP 5.4 tienen al menos una de las dos fallas, lo que significa un defecto presente en el núcleo del lenguaje durante más de una década. La demostración de Wiz ejecutó código sin autenticación contra imágenes de contenedor estándar de WordPress, Drupal y Joomla, sin ninguna modificación.

El mayor riesgo está en las instalaciones con mod_php, el módulo que integra el intérprete en Apache. En este escenario, el proyecto PHP confirmó la ejecución remota completa vía HTTP, con los límites estándar, antes de que cualquier línea del código de la aplicación se ejecute. Esto elude las protecciones que el equipo de desarrollo suele controlar, como la validación de entrada y la autenticación.

PHP 8.1 y las versiones anteriores no reciben actualización del proyecto oficial. Distribuciones de Linux están publicando backports: AlmaLinux informó que los paquetes corregidos ya están en los repositorios de producción para todas las versiones de PHP en sus ediciones 8, 9 y 10. El propio proyecto PHP afirma que actualizar es la única opción segura, porque las mitigaciones disponibles cierran solo parte de los vectores.

Explotación antes del parche

La cronología es el dato que cambia la prioridad para un CISO. Pruebas de concepto públicas aparecieron alrededor de las 2h UTC del día 21, unas 12 horas antes del fin del embargo, según Amazon. Cloudflare reportó tráfico de ataque contra las vulnerabilidades, incluyendo intentos de eludir sus reglas de WAF, y Patchstack dijo haber recibido informes de explotación de socios de hospedaje.

Amazon señala que los payloads y la infraestructura observados varían, lo que sugiere varios actores, y que aún no está claro si estos intentos tendrían éxito en sistemas reales. La CISA no había incluido las dos CVEs en el catálogo de vulnerabilidades conocidas como explotadas (KEV) hasta la publicación del aviso de SOCRadar. Para empresas reguladas que usan el KEV como desencadenante formal de corrección de emergencia, este intervalo crea una ventana en la que el plazo interno aún no ha comenzado a contar, pero los ataques ya han comenzado.

También hay un dato sobre cómo se encontró la falla. Wiz y la empresa de seguridad Calif utilizaron modelos de IA en el descubrimiento y la respuesta, según Gigazine y otros informes del día 22. Herramientas que encuentran defectos antiguos en grandes bases de código acortan el tiempo entre el descubrimiento y la explotación para ambas partes.

Dónde afecta más PHP2Shell

En Estados Unidos y Europa, el riesgo se concentra en portales corporativos, intranets y tiendas virtuales que funcionan sobre WordPress, Drupal o Magento en servidores propios, fuera del alcance de las correcciones automáticas de proveedores administrados. Sansec, especializada en comercio electrónico, publicó un análisis propio sobre PHP2Shell, señal de que el comercio electrónico ha entrado en la cuenta de los equipos de respuesta.

En India y Filipinas, grandes polos de agencias web y soporte externo, un único equipo suele administrar cientos de sitios de clientes en hospedaje compartido. Una versión de PHP desactualizada en este modelo replica la exposición en todos los clientes al mismo tiempo, y la corrección depende de contrato y de quién tiene acceso al servidor.

En Brasil, PHP es común en sitios de organismos públicos, en minoristas de tamaño medio y en sistemas legados desarrollados internamente, algunos de ellos aún en versiones 7.x que el proyecto oficial no actualizó en esta ronda. Para estos entornos, la opción es el backport de la distribución o una migración forzada de versión, con pruebas de compatibilidad realizadas bajo presión.

El estándar común en los tres mercados es que el inventario viene antes del parche. La mayoría de las empresas saben cuántos servidores Windows tienen; pocas saben cuántas instancias de PHP están en funcionamiento en sitios de marketing, herramientas de recursos humanos y sistemas departamentales contratados fuera de TI.