PHP2Shell genera millones de intentos de explotación y una nueva vulnerabilidad incrementa los riesgos de seguridad
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
La seguridad de la infraestructura tecnológica basada en PHP enfrenta un escenario de creciente preocupación tras la detección de millones de intentos de explotación asociados con las vulnerabilidades críticas conocidas como PHP2Shell. La actividad maliciosa, identificada en múltiples entornos de internet, se suma al reciente descubrimiento de una nueva vulnerabilidad que podría permitir la ejecución remota de código en determinadas configuraciones, lo que refuerza la necesidad de acelerar las medidas de protección y actualización de los sistemas.
Las vulnerabilidades PHP2Shell, identificadas como CVE-2026–109618 y CVE-2026–109619, pueden ser aprovechadas por atacantes sin autenticación para intentar ejecutar código malicioso en servidores vulnerables. Una explotación exitosa podría facilitar el robo de información, la exposición de credenciales, la instalación de mecanismos de persistencia y el acceso no autorizado a otros sistemas conectados. La magnitud de los ataques ha aumentado rápidamente: los intentos pasaron de decenas de miles durante los primeros 45 minutos posteriores a la divulgación pública a cientos de miles en las horas siguientes, hasta alcanzar millones de solicitudes maliciosas. Asimismo, se detectó un intento de explotación contra la infraestructura de monitoreo de Amazon el 17 de octubre, cuatro días antes de la divulgación pública de las vulnerabilidades, lo que evidencia que al menos un actor habría comenzado a intentar aprovecharlas antes de su anuncio oficial.
Como respuesta a las fallas iniciales, el equipo de PHP publicó el 21 de octubre actualizaciones de seguridad para las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sin embargo, el 23 de octubre se informó sobre una vulnerabilidad adicional, registrada como CVE-2026–115560, que no queda corregida con los parches anteriores. Aunque esta falla también podría derivar en ejecución remota de código, su impacto estaría condicionado a configuraciones específicas, por lo que no se consideró necesario emitir una actualización de emergencia. Como medida preventiva, se recomendó deshabilitar temporalmente la función de progreso de carga de sesiones de PHP hasta que la corrección correspondiente se incorpore a una versión estable. Al momento de su divulgación, no se habían reportado intentos de explotación de esta nueva vulnerabilidad.
De forma paralela, la Unidad de Investigación de SILIKN identificó herramientas que automatizan los intentos de explotación de PHP2Shell y facilitan la distribución de cargas maliciosas, incluida una variante de la botnet Mirai, conocida por comprometer dispositivos y servidores para integrarlos en redes controladas por ciberdelincuentes. También se detectaron scripts capaces de identificar sitios potencialmente vulnerables, recopilar información sobre versiones de PHP y configuraciones de servidores, enumerar usuarios y complementos de WordPress, y localizar posibles puntos de acceso a información sensible. Aunque se ha observado una actividad considerable, las investigaciones disponibles no habían confirmado ejecuciones remotas de código exitosas ni la instalación efectiva de archivos maliciosos en los sistemas analizados.
La exposición potencial continúa siendo significativa debido al uso extendido de PHP y a la existencia de instalaciones desactualizadas. Al 23 de octubre de 2026, se estimaba que más de 34.4 millones de servicios web podrían continuar siendo vulnerables, una situación que representa un riesgo para organizaciones de distintos sectores, especialmente aquellas que utilizan versiones antiguas o que ya no cuentan con soporte de seguridad.
Ante este escenario, la Unidad de Investigación de SILIKN recomienda a las organizaciones realizar un inventario de los activos que utilizan PHP, instalar las actualizaciones de seguridad correspondientes, migrar las versiones sin soporte a ramas mantenidas y revisar las configuraciones relacionadas con la gestión de sesiones y la carga de archivos. Asimismo, resulta fundamental reforzar la supervisión de los registros y del tráfico web, identificar posibles intentos de ejecución de comandos y buscar indicios de robo de credenciales, instalación de herramientas maliciosas o persistencia no autorizada.
La rápida evolución de las amenazas asociadas con PHP2Shell y la aparición de una nueva vulnerabilidad en un periodo de pocos días ponen de manifiesto la importancia de mantener una estrategia continua de gestión de vulnerabilidades, aplicar medidas preventivas oportunas y fortalecer las capacidades de detección y respuesta ante incidentes. La actualización de los sistemas y la vigilancia activa de la infraestructura siguen siendo medidas esenciales para reducir la superficie de ataque y limitar el impacto potencial de estas amenazas.
Para más información, visite: https://www.silikn.net/