La agencia CISA el 26 de octubre de 2026 incluyó dos vulnerabilidades críticas de PHP — CVE-2026-109618 y CVE-2026-109619, conocidas bajo el nombre común de PHP2Shell, en el catálogo Known Exploited Vulnerabilities (KEV). Ambas vulnerabilidades permiten ejecutar código arbitrario en el servidor sin autenticación y están valoradas en 9.2 según CVSS v4.0 (9.8 según CVSS v3.1, de acuerdo con el aviso de seguridad de Arista). Teniendo en cuenta que PHP se utiliza aproximadamente en el 69% de los sitios web con lenguaje de servidor conocido (según datos de W3Techs), la magnitud del impacto potencial es enorme. Los parches están disponibles desde el 21 de octubre: la actualización de PHP es una acción prioritaria para todas las organizaciones afectadas. Ya hemos analizado en detalle estas vulnerabilidades anteriormente; este artículo se centra en la confirmación de la explotación activa y en los nuevos detalles.
Detalles técnicos de las vulnerabilidades
Ambas vulnerabilidades pertenecen a la clase CWE-416 (Use After Free) y afectan al núcleo de PHP, pero explotan distintos mecanismos:
- CVE-2026-109618 — está relacionada con la gestión incorrecta de una situación de falta de memoria (OOM). Cuando se produce un OOM, PHP utiliza
longjmp()para salir del contexto actual, pero los datos internos de la petición pueden quedar en un estado parcialmente inicializado. El procedimiento posterior de limpieza de la petición accede a esta memoria no inicializada, lo que abre la vía a la ejecución de código. - CVE-2026-109619 — explota un estado global obsoleto que sigue haciendo referencia a memoria de la petición ya liberada. Las peticiones posteriores procesadas por el mismo proceso de trabajo pueden leer este estado obsoleto antes de su reinicialización completa.
Según el aviso de seguridad oficial de PHP, se ven afectadas todas las versiones de PHP anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las ramas 8.1 y anteriores ya no reciben actualizaciones oficiales del proyecto PHP, aunque las distribuciones de Linux pueden proporcionar correcciones retroportadas.
Dependencia del riesgo de la configuración del servidor
Un matiz importante que a menudo se pasa por alto en los análisis: el grado de vulnerabilidad depende de forma significativa del servidor API (SAPI) utilizado. Según los datos de los avisos de PHP en GitHub, las configuraciones difieren en su nivel de riesgo:
- Apache mod_php — la configuración más vulnerable. La explotación es posible antes de que se ejecute el código de la aplicación, ya que mod_php invoca incondicionalmente el procedimiento de finalización de la petición incluso si se produce un fallo en la fase de inicialización.
- PHP-FPM — en caso de fallo en la inicialización, el proceso hijo termina; sin embargo, se ha confirmado una vía de explotación alternativa mediante el estado obsoleto de las sesiones, siempre que las peticiones del atacante lleguen al mismo proceso de trabajo.
- php-cgi, FrankenPHP, LiteSpeed — también se indican por el proyecto PHP como configuraciones afectadas.
Esta dependencia del SAPI significa que la evaluación del riesgo debe tener en cuenta la arquitectura concreta del despliegue, y no solo la versión de PHP.
Magnitud de la amenaza
Según el rastreador de Censys, una cantidad significativa de servicios PHP en Internet sigue ejecutándose en versiones vulnerables (el material original ofrece una estimación de más de 32,51 millones de servicios, pero en el texto disponible del rastreador de Censys esta cifra no se confirma directamente).
La magnitud de la reacción de la industria no tiene precedentes: decenas de grandes proveedores han publicado avisos de seguridad, incluidos Broadcom, Citrix, Dell, F5, Ivanti, Okta, QNAP, Synology, Veeam, WordPress, así como fabricantes de equipos industriales — Schneider Electric, Siemens, Rockwell Automation, Moxa y Hitachi Energy. Esto demuestra que las vulnerabilidades afectan no solo a aplicaciones web, sino también a sistemas de control embebidos, dispositivos NAS y software corporativo.
Amenaza adicional: CVE-2026-111497 en la biblioteca Brotli
Paralelamente a PHP2Shell, el 26 de octubre PHP Foundation publicó compilaciones actualizadas para Windows (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) que corrigen CVE-2026-111497, una vulnerabilidad de escritura fuera de los límites del búfer en la biblioteca de descompresión Brotli. Según la descripción de la versión Brotli v1.2.1, esta vulnerabilidad también permite la ejecución remota de código. En PHP para Windows, el decodificador vulnerable está disponible a través de la extensión cURL cuando la descompresión automática de respuestas HTTP está activada (desactivada por defecto, pero puede ser habilitada por aplicaciones y bibliotecas cliente HTTP), tal y como indica PHP Foundation.
CVE-2026-111497 también se ha incluido en el catálogo CISA KEV con fecha límite de corrección el 10 de noviembre de 2026. Anteriormente ya analizamos en detalle esta vulnerabilidad, incluido su impacto en Node.js, Bun, Python, Envoy Proxy y .NET.
Recomendaciones
Según la posición oficial del proyecto PHP, la actualización es la única forma completa de eliminar las vulnerabilidades PHP2Shell. Los cambios de configuración (como establecer memory_limit=-1 o desactivar el seguimiento de la carga de sesiones) reducen ciertos vectores de ataque, pero no proporcionan una protección total.
- Actualice PHP de inmediato a las versiones 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (disponibles en php.net).
- Para compilaciones de Windows — instale las versiones con el sufijo «-1» (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1), que además corrigen CVE-2026-111497.
- Para PHP 8.1 y anteriores — estas ramas no reciben actualizaciones oficiales. Compruebe si su distribución proporciona correcciones retroportadas; en caso contrario, es necesaria la migración a una rama con soporte.
- Priorice los servidores con mod_php — esta configuración es la más vulnerable y permite la explotación antes de que se ejecute el código de la aplicación.
- Revise los avisos de seguridad de los proveedores para todos los productos que utilicen PHP como componente integrado (dispositivos NAS, sistemas de control, plataformas corporativas).
La fecha límite de corrección para las agencias federales de EE. UU. en el caso de PHP2Shell es el 29 de octubre de 2026, y para CVE-2026-111497, el 10 de noviembre de 2026. Para las organizaciones comerciales, estas fechas deben considerarse como una referencia de prioridad: la inclusión en el catálogo KEV significa explotación activa confirmada, y cada día de retraso aumenta la superficie de ataque. Actualice PHP en todos los servidores accesibles desde Internet en primer lugar y, a continuación, en los sistemas internos, teniendo en cuenta el SAPI utilizado y la presencia de componentes PHP integrados en software de terceros.
