hechos 550 · señales 29 · artículos 21 · base de datos 3324 KB · bots —guest@ftrlgeres tú~/whoamiEscribes de forma anónima. Para firmar siempre igual, elige un secreto al comentar: se convertirá en tu tripcode.sin registro, nunca

PHP2Shell

traducido por IA, revisado por la redacción

redacción de future.log · publicado

PHP2Shell (en inglés, PHP2Shell) es el nombre común de dos vulnerabilidades críticas del intérprete PHP, CVE-2026-109618 y CVE-2026-109619, corregidas el 21 de octubre de 2026. En determinadas condiciones permitían ejecutar código en el servidor sin iniciar sesión; están afectadas las instalaciones de PHP que atienden peticiones web, y el riesgo más alto lo tiene Apache con el módulo mod_php. Ambas recibieron 9,2 puntos en la escala CVSS 4.0. PHP funciona en el 69,2% de los sitios web cuyo lenguaje del lado del servidor se conoce.123

Los primeros indicios de uno de los errores, según la PHP Foundation, se detectaron ya en 2024, pero la corrección se quedó atascada. En 2026, las vulnerabilidades las encontraron con ayuda de IA, de forma independiente entre sí, la empresa Calif, dentro del programa Patch the Planet de OpenAI, la propia OpenAI y Wiz. Las filtraciones hicieron fracasar el lanzamiento coordinado de las correcciones, y el primer intento de ataque, según Amazon, se produjo cuatro días antes de la divulgación. A 25 de octubre no hay intrusiones confirmadas; de los servicios que siguen siendo vulnerables, la mayoría funciona con versiones de PHP para las que no existe corrección oficial.1456

Historia

  • 2024La empresa Quarkslab realiza la primera auditoría de seguridad externa de PHP en muchos años; el dinero para ella lo obtuvo la PHP Foundation de la Sovereign Tech Agency. Al corregir uno de los hallazgos, un desarrollador de PHP ve los primeros indicios de un problema de falta de memoria que más tarde se convertirá en CVE-2026-109618. La corrección se estanca durante meses.1 ¶ cjbjq4na9
  • 22.06.2026OpenAI anuncia el programa Patch the Planet: junto con la empresa Trail of Bits, ayudar a los mantenedores de código abierto a encontrar y corregir vulnerabilidades.7 ¶ cj65i2dcj
  • 11.08.2026Calif, que revisaba PHP dentro de Patch the Planet desde el 30 de julio, comunica la primera vulnerabilidad al equipo de seguridad de PHP. Desde ese día, la corrección es la tarea principal del equipo de la PHP Foundation. De forma independiente, OpenAI comunicó la misma causa y, el 18 de septiembre, nuevas vías de ataque.18 ¶ c9buuy92f
  • 24.08.2026Wiz comunica sus hallazgos a PHP. Encontró el primero el 19 de agosto con su herramienta Wiz Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol, y confirmó la ejecución de código sin autenticación en Drupal y WordPress.9 ¶ cwp6k86n2
  • 20.10.2026Los números de CVE se filtran en la red dos días antes del lanzamiento previsto; Calif publica por error un vídeo con un exploit que funciona. El lanzamiento se adelanta un día.1 ¶ c8mhxyghn
  • 21.10.2026PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para 8.1, 8.0 y 7.4, el equipo publica solo correcciones mínimas en el código fuente; no hay versiones oficiales para ellas.12 ¶ cgydsfait
  • 23.10.2026PHP informa de una tercera vulnerabilidad del mismo tipo, CVE-2026-115560: afecta también a las versiones actualizadas, pero solo con una configuración inusual, por lo que la corrección saldrá por el cauce habitual.2 ¶ cq5qrgrfb

Datos

Quién se quedó sin corrección. Censys cuenta a diario los servicios con PHP accesibles desde internet según la versión que declaran. La unidad es el servicio, no el servidor ni el sitio web: los recuentos de distintas empresas difieren en decenas de veces, y solo se pueden comparar las filas de una misma tabla. No todos los servicios declaran su versión: a 25 de octubre, de 99,6 millones de servicios con PHP encontrados, en 56,9 millones es desconocida, y esa cifra creció en una semana desde 16 millones porque Censys empezó a encontrar más servicios. Por eso las cifras de la tabla son un límite inferior.6

DíaVersiones con soporte, sin actualizarVersiones sin corrección oficial (8.1 y anteriores)Actualizados
21.10.202617,0 millones23,3 millones0,4 millones
22.10.202613,4 millones23,3 millones4,9 millones
23.10.20269,7 millones23,3 millones9,2 millones
24.10.20269,0 millones23,5 millones10,1 millones
25.10.2026, 07:15 UTC9,0 millones23,5 millones10,3 millones

¶ cuc8axysj

El 22 y el 23 de octubre, el número de servicios actualizados creció en más de 4 millones al día; el 24 de octubre, en menos de 1 millón. La versión más frecuente de todas es la 7.4.33, de una rama sin corrección oficial: 6,7 millones de servicios. Censys cuenta como vulnerables sin corrección todas las ramas antiguas, pero unos 3,1 de los 23,5 millones son versiones anteriores a la 5.4, y Wiz escribe que son vulnerables las versiones a partir de la 5.4.96 ¶ c3cpdbjvf

[CONCLUSIÓN DE LA REDACCIÓN]

La actualización avanza rápido allí donde hay alguien que actualice, y se detiene casi enseguida: en la mañana del 25 de octubre seguían sin corrección unos 9 millones de servicios con versiones con soporte y unos 20 millones con versiones antiguas vulnerables, para las que no existe en absoluto. El número de estos últimos no disminuyó en esos días. ¶ c968v4bz6

Incidentes

Filtraciones antes del lanzamiento, octubre de 2026 ¶ c7xzna2w2

El lanzamiento estaba fijado para el 22 de octubre a las 14:00 UTC. El 20 de octubre, hacia las 15:00, los números de CVE aparecieron en foros y redes sociales, con una hora de lanzamiento errónea y una puntuación errónea de 10,0. La filtración no incluía detalles técnicos. A las 19:30, PHP publicó un aviso previo y adelantó el lanzamiento un día: las distribuciones aún estaban preparando los paquetes, y publicar de inmediato habría dejado a muchos sin una forma sencilla de actualizar.1

Tras la filtración y el aviso previo, Calif publicó por error un vídeo en el que su exploit funcionaba contra varios objetivos. El vídeo se borró, pero las copias se difundieron por las redes sociales; según la PHP Foundation, aceleró la aparición de exploits de prueba. Los consejos de protección que PHP empezó a enviar hacia las 23:00 a varios operadores de infraestructura crítica, según la fundación, también pudieron filtrarse.1

Según la fundación, el 21 de octubre a las 07:41 —más de seis horas antes del lanzamiento— Chainguard publicó imágenes compiladas con la corrección. Según la fundación, Chainguard «rompió unilateralmente el embargo», y cualquier atacante podía estudiar la corrección mientras el resto de usuarios de PHP la esperaba. El director de Chainguard, Dan Lorenc, justificó la decisión diciendo que ya habían aparecido exploits en la red.11011

Ataques antes y después de la divulgación, octubre de 2026 ¶ cnch37ut9

Según Amazon, el primer intento de explotación llegó a su red de honeypots MadPot el 17 de octubre —cuatro días antes de la divulgación— desde una dirección de una red comercial de anonimización. La mañana del 21 de octubre, aún antes del lanzamiento, los intentos aumentaron y llegaban desde distintas direcciones. Amazon no sabe si alguno habría tenido éxito en un servidor real.4 ¶ cntwbn33n

Cloudflare activó la protección por defecto para los clientes con cortafuegos de aplicaciones web gratuito o de pago a las 03:02 del 21 de octubre, antes de la divulgación. Según su consejero delegado, Matthew Prince, en las 10 horas previas a la divulgación la empresa vio miles de intentos de ataque; en los 45 minutos posteriores, decenas de miles; en dos horas, cientos de miles, y después la cuenta pasó a los millones.1213 ¶ c5tfj6mar

Entre los atacantes hay una botnet: Sophos interceptó un intento de instalar Potassium, según su estimación una variante de Mirai.14 ¶ ca3cc2shq

No hay intrusiones confirmadas. CISA no había observado ninguna explotación con éxito en el momento de publicar su aviso. Sophos informó el 22 de octubre de una intrusión con éxito, pero esa misma tarde se corrigió: no hay pruebas de ningún compromiso con éxito. SOCRadar encontró en un servidor de los atacantes un kit de ataque y rastros de la comprobación de unos 20 sitios web: ninguno cumplía las condiciones del ataque.51516 ¶ ckj7jbydd

Críticas

El fallo, dentro. La PHP Foundation califica abiertamente el retraso desde 2024 de «fallo estructural», causado por la forma de tomar decisiones en el equipo de seguridad y por la falta de personas.1 ¶ cjjeciweq

Éxito pese a las filtraciones. Johannes Ullrich, del SANS Internet Storm Center, considera que la divulgación coordinada funcionó en conjunto y dio correcciones probadas a tiempo, y que las filtraciones de quienes «no juegan según las reglas» no deben eclipsarlo.17 ¶ cz5h4dfrp

Basura de IA en lugar de exploits. Se publicaron muchos «exploits», pero casi ninguno funciona. Bojan Zdrnja, de SANS, vio entre ellos «una cantidad increíble» de basura generada por IA; VulnCheck, cientos de repositorios en GitHub, de los que solo unos pocos son auténticos; los participantes en foros de hackers, según el análisis de Flare, llaman al código público «basura de IA» y «hecho con vibe coding». Ullrich escribió el 23 de octubre que, hasta donde él sabía, no había ningún exploit público fiable, aunque varias empresas afirmaron tener código que funciona.17181920 ¶ c8jkkhna6

El embargo frente a la IA. Amazon concluye que el embargo solo protege hasta que otro encuentra el mismo error: la IA abarata convertir una corrección o un boletín en un exploit que funcione, y la investigación debe empezar en el primer ataque conocido, no en la fecha de divulgación. Wiz escribe que un solo investigador con modelos de frontera hizo en una semana lo que antes a un equipo de primer nivel mundial le habría llevado meses.94 ¶ ctq7enzyg

Evolución

La PHP Foundation cambia la organización de la seguridad. En el equipo de seguridad, las decisiones se tomarán por mayoría y no por consenso de todos; la dirección de la fundación se enterará mucho antes de las vulnerabilidades graves. Desde mayo de 2026 funciona un equipo de seguridad del ecosistema, y la fundación cuenta con un ingeniero de seguridad de IA, y en julio y septiembre llegaron empleados para la revisión de informes y el refuerzo del código. La carga ha aumentado por culpa de esas mismas herramientas de IA: desde el 1 de julio, el equipo ha publicado 15 CVE y ha revisado más de 100 informes que resultaron ser erróneos, duplicados o no reproducibles. La fundación pide financiación a empresas, proveedores de alojamiento y gobiernos.1 ¶ cqruv52g4

CISA aconseja a quienes no puedan actualizar o trabajen con PHP 8.1 o anteriores que desconecten los sistemas basados en PHP hasta actualizarlos.5 ¶ csvzak3wc

[CONCLUSIÓN DE LA REDACCIÓN]

En PHP2Shell, tres equipos independientes encontraron con ayuda de IA, a lo largo de agosto, vulnerabilidades críticas en uno de los principales proyectos abiertos. De ahí se deduce lo principal: el secreto ya no se sostiene. Si varios equipos encuentran un mismo error tan rápido, un embargo de 71 días solo se sostiene mientras nadie más lo haya encontrado, y el primer ataque, según Amazon, llegó antes de la divulgación. El punto débil ya no es la búsqueda, sino las personas y el dinero para corregir, y las versiones antiguas que nadie actualizará. Más sobre el fenómeno en el artículo «Búsqueda de vulnerabilidades con IA». ¶ cmw3tbywx

Véase también

Búsqueda de vulnerabilidades con IACódigo abiertoCrisis de mantenedoresDefensa de objetivo móvil

Referencias

  1. Today’s PHP Security Release, and How We’re Strengthening PHP Security — The PHP Foundation, 21.10.2026. thephp.foundation ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11

  2. PHP: News Archive - 2026 — php.net, 20.10.2026–23.10.2026. php.net ↩ ↩2 ↩3

  3. Usage Statistics and Market Share of PHP for Websites, October 2026 — W3Techs, 10.2026. w3techs.com ↩

  4. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — Amazon Web Services, 21.10.2026. aws.amazon.com ↩ ↩2 ↩3

  5. Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21.10.2026. cisa.gov ↩ ↩2 ↩3

  6. PHP2Shell services — Censys, datos al 25.10.2026. php2shell.censys.com ↩ ↩2 ↩3

  7. OpenAI launches new initiative to help find and patch open source bugs — TechCrunch, 22.06.2026. techcrunch.com ↩

  8. PHP2Shell by Calif Research — Calif, 21.10.2026. calif.io ↩

  9. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz, 21.10.2026. wiz.io ↩ ↩2 ↩3

  10. Comentario de Dan Lorenc (dlor) — Hacker News, 21.10.2026. news.ycombinator.com ↩

  11. PHP Foundation Says Chainguard Broke Security Embargo Ahead of Emergency Patches — Socket, 21.10.2026. socket.dev ↩

  12. Cloudflare deploys protections against php2shell vulnerability — Cloudflare, 21.10.2026. blog.cloudflare.com ↩

  13. Hackers pile on PHP2Shell as AWS reveals attacks began before disclosure — The Register, 22.10.2026. theregister.com ↩

  14. Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge — SecurityWeek, 23.10.2026. securityweek.com ↩

  15. Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619) — Sophos, 21.10.2026. sophos.com ↩

  16. PHP2Shell Exploit Tooling Found on Exposed Attacker Server — SOCRadar, 22.10.2026. socradar.io ↩

  17. PHP Vulnerability Wrap-Up — SANS Internet Storm Center, 23.10.2026. isc.sans.edu ↩ ↩2

  18. (Reliable)? php2shell exploitability — SANS Internet Storm Center, 23.10.2026. isc.sans.edu ↩

  19. PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619 — VulnCheck, 21.10.2026. vulncheck.com ↩

  20. “PoC Yes. RCE No.”: What the Underground Actually Thinks of the Public PHP2Shell Exploits — Flare, 23.10.2026. flare.io ↩

Tu firma

Lo que debes recordar es el secreto: es tu contraseña. El tripcode se calcula a partir de él y aparece junto a tu nombre: con el mismo secreto siempre tendrás el mismo tripcode, y nadie puede falsificarlo sin el secreto. El secreto nunca se publica ni se guarda en el servidor.