PHP2Shell pasa a la lista de vulnerabilidades explotadas mientras los organismos piden parche urgente

CISA publicó el 21 de octubre una alerta sobre CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Al momento de ese aviso dijo que no había observado explotación, aunque pidió parche inmediato. El Centro Canadiense de Ciberseguridad informó el 27 de octubre que CISA añadió ambos identificadores al catálogo KEV el día 26, y NHS England actualizó su aviso el 29 señalando explotación reportada. Los estados deben conservarse con sus fechas: el primer aviso no contradice los informes posteriores.

Las vulnerabilidades de PHP permiten ejecución remota de código sin autenticación en escenarios de procesamiento de solicitudes web. PHP está integrado en numerosos gestores de contenido y aplicaciones, por lo que el inventario no debe limitarse a servidores identificados explícitamente como PHP. NHS England señala demostraciones de explotación en productos que integran PHP, incluidos WordPress, Drupal y Joomla.

CISA recomienda actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama. Las versiones anteriores y ramas sin soporte requieren revisión urgente con el proveedor de distribución o plataforma. Los equipos deben comprobar el runtime realmente utilizado por cada servicio, incluidas imágenes de contenedor, entornos de hosting y dependencias empaquetadas.

CISA recomienda priorizar sistemas expuestos a Internet, retirar temporalmente del servicio las aplicaciones PHP que no puedan actualizarse y revisar procesos PHP que lancen shells o descarguen herramientas. Un WAF puede servir como control provisional, pero no sustituye el parche. Después de actualizar, buscar señales de explotación, preservar registros y evaluar si hubo acceso a datos o credenciales.

KEV indica que la vulnerabilidad se conoce como explotada y NHS reporta evidencia adicional, pero no demuestra que todas las organizaciones expuestas hayan sido atacadas. Las organizaciones deben confirmar exposición y aplicar la versión corregida. Para PHP 8.1 o anterior, que no recibe mantenimiento normal, la recomendación de CISA es no mantener sistemas web expuestos sin actualización o aislamiento.