PHP – Vulnerabilidades Críticas – Vulnerabilidad Crítica

AVC26-00740

Desde el CSIRT Nacional, informamos acerca de una o más vulnerabilidades que podrían afectar seriamente a sistemas e infraestructura de proveedores de servicios esenciales y operadores de importancia vital.

Compartimos información publicada por el equipo de desarrollo de PHP sobre dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell, que afectan al lenguaje de programación PHP. Estas vulnerabilidades podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario en servidores web afectados, mediante condiciones de corrupción de memoria y utilización de referencias a memoria previamente liberada (Use-After-Free).

Las vulnerabilidades afectan a distintas implementaciones de PHP, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Se ha demostrado la ejecución remota de código en entornos que utilizan mod_php, incluso antes del procesamiento del código de la aplicación. Adicionalmente, se han publicado pruebas de concepto (PoC), lo que incrementa el riesgo de explotación de los sistemas vulnerables.

Recomendaciones y Mitigaciones

El equipo de desarrollo de PHP publicó actualizaciones de seguridad el 21 de octubre de 2026 y recomienda su instalación inmediata, señalando que las medidas de mitigación disponibles son temporales y no garantizan una protección completa.

Las versiones corregidas corresponden a:

• PHP 8.5: actualizar a 8.5.12.
• PHP 8.4: actualizar a 8.4.27.
• PHP 8.3: actualizar a 8.3.36.
• PHP 8.2: actualizar a 8.2.35.

Para las versiones PHP 8.1 y anteriores, que se encuentran fuera de soporte oficial, se recomienda migrar a una versión compatible y actualizada o verificar con el proveedor la disponibilidad de parches de seguridad específicos.

En caso de no poder aplicar inmediatamente las actualizaciones, se recomienda adoptar las siguientes medidas temporales:

• Deshabilitar session.upload_progress.enabled=0 en la configuración de PHP y reiniciar los procesos correspondientes para reducir los vectores de explotación asociados a CVE-2026-109619.
• Establecer límites restrictivos para las solicitudes HTTP, especialmente para el tamaño de los datos enviados mediante POST, la cantidad de parámetros y las cargas de archivos.
• Evaluar la configuración administrativa de memory_limit=-1, de acuerdo con las recomendaciones del fabricante, para reducir determinados escenarios de explotación de CVE-2026-109618, considerando previamente el impacto sobre los recursos del servidor.
• En PHP 8.5, configurar fatal_error_backtraces=0 y reiniciar los procesos para mitigar uno de los vectores conocidos de CVE-2026-109619.
• Revisar los registros de servidores web, PHP y dispositivos de seguridad para identificar solicitudes sospechosas, errores anómalos de memoria y posibles intentos de explotación.

El fabricante señala que la actualización a las versiones corregidas es la única medida que proporciona protección completa frente a estas vulnerabilidades.

Productos relacionados