PHP alerta sobre una nueva vulnerabilidad de RCE CVE-2026-115560 dos días después del parche de emergencia para PHP2Shell

El 23 de octubre, PHP Foundation publicó un aviso informativo sobre una nueva vulnerabilidad de ejecución remota de código (RCE): CVE-2026-115560. El problema apareció tan solo dos días después del lanzamiento de emergencia de parches para dos vulnerabilidades críticas PHP2Shell (CVE-2026-109618 y CVE-2026-109619, CVSS 9.2). La nueva vulnerabilidad afecta a aplicaciones web con una configuración atípica del manejador de sesiones y no está corregida por las actualizaciones publicadas anteriormente. PHP no planea un parche de emergencia y recomienda desactivar la función session upload progress hasta el próximo lanzamiento programado. Anteriormente ya analizamos en detalle las vulnerabilidades PHP2Shell; el nuevo problema amplía la superficie de ataque, aunque bajo condiciones más restringidas.

Detalles técnicos de CVE-2026-115560

La vulnerabilidad CVE-2026-115560 puede conducir a ejecución remota de código, pero solo si se cumplen simultáneamente varias condiciones. La aplicación debe:

• Establecer el parámetro session.serialize_handler con el valor php_binary o php_serialize en la configuración;
• Cambiar este parámetro a php durante la ejecución mediante una llamada a ini_set();
• Hacerlo antes de llamar a session_start();
• Mantener activada la función session upload progress (valor por defecto).

PHP Foundation caracteriza esta configuración como poco probable en la práctica. El aviso oficial no contiene ni un listado de las versiones afectadas, ni una valoración CVSS, ni información sobre si la nueva vulnerabilidad está relacionada con la causa raíz de CVE-2026-109619. El boletín de seguridad completo se publicará junto con el próximo lanzamiento programado.

Es importante delimitar el alcance del impacto: a diferencia de CVE-2026-115560, las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619) afectan a PHP con configuraciones por defecto y permiten a un atacante no autenticado ejecutar código arbitrario. Según el aviso GHSA-w8hw-w9fx-j79w, CVE-2026-109618 está relacionada con un daño en memoria por agotamiento de recursos (CWE-416, use-after-free). CVE-2026-109619, descrita en el aviso GHSA-6wmf-4rv5-p3rp, permite que el estado global de la petición apunte a memoria liberada y sea utilizado por una petición posterior del mismo proceso de trabajo. PHP Group ha evaluado ambas con 9.2 según CVSS v4.0 y las ha corregido en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones de seguridad por parte del proyecto PHP.

Actividad de los atacantes

En el momento de la publicación del aviso, no se habían registrado intentos de explotación de CVE-2026-115560. Sin embargo, las dos vulnerabilidades PHP2Shell corregidas anteriormente se están escaneando de forma activa. Según datos de Cloudflare, el número de intentos de explotación pasó de decenas de miles en los primeros 45 minutos tras su divulgación el 21 de octubre a millones en la mañana del 22 de octubre. Sophos y Arctic Wolf informaron de intentos de instalación de una variante del botnet Mirai a través de estas vulnerabilidades, aunque no se ha confirmado ningún caso de ejecución de código con éxito: construir un exploit fiable resultó ser más complicado de lo esperado.

Según CYFIRMA, se ha observado una campaña de escaneo dirigido desde 21 nodos comprometidos, centrada en 216 hosts del sector público, organizaciones financieras, logística, aviación y fabricación en Estados Unidos, Japón, Corea del Sur y otros países. El escaneo se realiza en modo «low-and-slow», con volúmenes reducidos y rotación de nodos, lo que dificulta su detección por sistemas de alerta basados en umbrales. CYFIRMA vincula la campaña, con un nivel de confianza moderado, con un operador de habla coreana presuntamente afiliado al ecosistema de Lazarus Group; sin embargo, esta atribución no ha sido confirmada por fuentes independientes, y no se ha registrado una compromisión masiva a través de PHP2Shell.

Cabe señalar que Unit 42 (Palo Alto Networks) retiró su declaración inicial de que el ataque contra una institución gubernamental europea estaba relacionado específicamente con las vulnerabilidades PHP2Shell, ya que no fue posible confirmar este vínculo. Se trata de una corrección importante: por el momento no existen casos, confirmados de forma independiente, de explotación exitosa de PHP2Shell para obtener acceso inicial.

Recomendaciones de detección

Dado que la campaña observada utiliza una táctica de escaneo lento con rotación de direcciones IP, las reglas de alerta basadas en umbrales estándar pueden pasarla por alto. Es recomendable que los defensores:

• Lleven a cabo un análisis retrospectivo de los registros de los servidores web y del tráfico de red durante un periodo ampliado;
• Controlen las cadenas de procesos generadas por los procesos de trabajo de PHP (PHP-FPM, mod_php);
• Busquen en los registros solicitudes con los marcadores PHP_SESSION_UPLOAD_PROGRESS y cargas multipart sin carga útil;
• Presten atención a la secuencia: petición POST con respuesta 500, error de agotamiento de memoria de PHP, corrupción del heap y finalización anómala del proceso de trabajo de Apache.

Unit 42 ha publicado consultas de búsqueda para detectar posibles actividades de postexplotación en el contexto de servidores PHP, así como intentos de explotación entrantes que utilicen peticiones multipart y upload progress.

Recomendaciones prácticas

1. Actualice PHP a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35; con ello se cierran CVE-2026-109618 y CVE-2026-109619.
2. Desactive session upload progress estableciendo session.upload_progress.enabled=0 en la configuración de PHP y reiniciando todos los procesos de trabajo. Esta medida mitiga al mismo tiempo CVE-2026-115560 y es la solución temporal recomendada para CVE-2026-109619. PHP advierte de que desactivar este ajuste no cubre todas las variantes de estado obsoleto.
3. Revise la configuración de las aplicaciones: si su código no cambia session.serialize_handler durante la ejecución mediante ini_set(), no está expuesto a CVE-2026-115560 a través de este vector.
4. Audite las versiones obsoletas: PHP 8.1 y anteriores no reciben actualizaciones de seguridad del proyecto PHP. Consulte con su distribución o proveedor de soporte LTS la disponibilidad de parches retroportados.

Actualizar PHP en el host es la única forma completa de eliminar las vulnerabilidades PHP2Shell. Cambiar el código de la aplicación, actualizar plugins de CMS o aplicar reglas de WAF no sustituyen al parche del runtime. Las organizaciones que ya desactivaron session upload progress tras las recomendaciones del 21 de octubre no necesitan tomar medidas adicionales respecto a CVE-2026-115560. Quienes aún no lo hayan hecho deben aplicar este ajuste de inmediato y planificar la actualización de PHP para el próximo lanzamiento programado, que incluirá la corrección completa.