Vulnerabilidad · Global · octubre de 2026

PHP2Shell: ejecución remota de código crítica en PHP (CVE-2026-109618, CVE-2026-109619)

Dos fallos críticos de ejecución remota de código sin autenticación en PHP motivaron versiones de emergencia y advertencias conjuntas de ENISA, CERT-EU, el FBI y la NSA.

Incidente

Qué ocurrió

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad de emergencia (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35) que corrigen dos vulnerabilidades críticas con puntuación CVSS 9,2, conocidas conjuntamente como PHP2Shell.

CVE-2026-109618 permite la ejecución remota de código mediante corrupción de memoria durante la gestión de falta de memoria; CVE-2026-109619 es un use-after-free por estado obsoleto. Ambos pueden activarse con solicitudes no autenticadas antes de que se ejecute el código de la aplicación, con el mayor riesgo en Apache con mod_php.

ENISA, la Comisión Europea, CERT-EU, Europol EC3 y la red de CSIRT de la UE emitieron una declaración conjunta instando a aplicar los parches de inmediato, mientras el FBI y la NSA publicaban advertencias paralelas. Investigadores de seguridad observaron actividades de reconocimiento y sondeo de aplicaciones PHP a las pocas horas de la divulgación.

Análisis

Lecciones aprendidas

Los sistemas PHP expuestos a Internet deben actualizarse de inmediato; cuando no sea posible, aísle las aplicaciones expuestas de las redes públicas hasta que las correcciones se apliquen y verifiquen.

PHP 8.1 y versiones anteriores ya no reciben actualizaciones del proyecto PHP, por lo que las versiones sin soporte deben actualizarse o quedar cubiertas por backports del proveedor.

Muchos productos comerciales y de código abierto incorporan PHP en segundo plano; se necesita un inventario de software preciso para encontrar los sistemas afectados que no parecen usar PHP directamente.

Prevención

Cómo ayudan las pruebas de penetración

Las pruebas de penetración de aplicaciones web y redes identifican servicios PHP expuestos, versiones de ejecución obsoletas y componentes vulnerables, y verifican que las medidas de parcheo y aislamiento sean realmente eficaces.

Ver servicio relacionado Solicitar una evaluación

Fuentes

Resumen basado en información pública. DIGITPOL no participó en este incidente.