Dos fallos críticos en PHP dejan miles de webs al descubierto

Dos vulnerabilidades críticas en PHP, conocidas como PHP2Shell, permiten que un usuario no autenticado ejecute código en el servidor y tome el control de un sitio web. El equipo de seguridad de PHP les asignó una puntuación de 9.2 sobre 10 en la escala CVSS 4.0.

Los parches ya están disponibles en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas en el sitio oficial del proyecto. Las distribuciones de Linux recibieron las correcciones con anticipación.

Qué alcance tiene el problema

Todas las instalaciones de PHP que procesan solicitudes web están afectadas, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El mayor riesgo es mod_php: se demostró que un pedido no autenticado puede desencadenar el ataque antes de que se ejecute cualquier código de la aplicación.

Los fallos quedaron registrados como CVE-2026-109618 y CVE-2026-109619. La filtración ocurrió el 20 de octubre, antes de que hubiera una solución disponible, algo que complicó a los administradores de sistemas.

Cloudflare informó que detectó ataques iniciales contra estas vulnerabilidades horas antes de la publicación del parche. Su director técnico señaló que las reglas del WAF para los vectores de explotación están activadas para todos los clientes, incluidos los gratuitos, aunque se trata de un remedio temporal.

Quiénes reaccionaron

Varios organismos y sitios desactivaron sus servicios mientras esperaban las correcciones:

• El centro estatal de TI de Finlandia, Valtori, apagó los servicios web de gobierno de cara al público.
• El National Land Survey finlandés hizo lo mismo.
• Cientos de webs gubernamentales de Finlandia y Países Bajos, la Universidad de Viena y la Universidad de Friburgo suspendieron sus servicios.
• El foro 4chan funciona en modo de solo lectura desde hace algunas horas.

Qué hacer con las versiones viejas

Las ramas con soporte son 8.2, 8.3, 8.4 y 8.5. Las versiones anteriores, como 8.1, 8.0, 7.x y 5.x, quedaron fuera del soporte y no recibirán actualizaciones oficiales. Según estimaciones de la empresa de seguridad Mallory, hay unos 884.000 servidores expuestos a Internet que usan PHP 8.1 o anterior.

El equipo de seguridad de PHP publicó correcciones mínimas adaptadas (backports) para PHP 7.4, 8.0 y 8.1, destinadas a quienes compilan desde el código fuente o no tienen acceso a un proveedor de versiones LTS. Los mantenedores de los repositorios para Debian y Ubuntu confirmaron que publicarán paquetes actualizados para todas las versiones que esas distribuciones soportan.

Quien dependa del repositorio rpms.remirepo.net, mantenido por voluntarios, debería pasar a los paquetes oficiales de su distribución, porque no recibirá las actualizaciones.

Si no se puede actualizar de inmediato, algunas medidas reducen la exposición pero no garantizan la seguridad: desactivar el progreso de subida de archivos de PHP y limitar la tasa de POST multipart/form-data cuando no sea necesario subir nada. Cloudflare publicó un conjunto de reglas de emergencia.