PHP2Shell: El hallazgo de vulnerabilidades críticas en PHP permiten la ejecución remota de código en servidores web

22 de Octubre de 2026

PHP2Shell: El hallazgo de vulnerabilidades críticas en PHP permiten la ejecución remota de código en servidores web

Alerta en el mundo web tras el hallazgo de dos vulnerabilidades criticas en PHP.

Las fallas fueron identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS de 9,2, lo que refleja su elevada criticidad. Según la información difundida, los problemas se relacionan con mecanismos de corrupción de memoria por agotamiento de recursos (Out-of-Memory, OOM) y con el uso de referencias a memoria previamente liberada (Use-After-Free).

Las vulnerabilidades afectan a diversas implementaciones de PHP, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Además, se ha demostrado la posibilidad de ejecutar código de forma remota en determinados entornos con mod_php, incluso antes de que se procese el código de la aplicación. La disponibilidad de pruebas de concepto públicas incrementa la preocupación por una eventual explotación de sistemas que no cuenten con las correcciones correspondientes.

Actualizaciones de seguridad y versiones afectadas

El equipo de desarrollo de PHP publicó actualizaciones de seguridad el 21 de octubre de 2026, destinadas a corregir ambas vulnerabilidades. Las versiones recomendadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según la rama utilizada.

Los sistemas que ejecuten versiones anteriores a estas correcciones deben actualizarse cuanto antes. En el caso de PHP 8.1 y versiones anteriores, que se encuentran fuera del soporte oficial, se recomienda migrar a una rama compatible o consultar con el proveedor de alojamiento la disponibilidad de parches específicos.

Medidas de mitigación y prevención

Mientras se implementan las actualizaciones, se pueden adoptar medidas temporales para reducir la exposición, como deshabilitar session.upload_progress.enabled, restringir el tamaño de las solicitudes HTTP y las cargas de archivos, y revisar los parámetros de memoria recomendados por el fabricante. Para PHP 8.5 también se contempla la desactivación de fatal_error_backtraces como medida frente a uno de los vectores conocidos.

Asimismo, se recomienda examinar los registros de los servidores web, PHP y dispositivos de seguridad, con el propósito de identificar solicitudes anómalas, errores de memoria o posibles intentos de explotación. Estas acciones deben aplicarse considerando la configuración particular de cada infraestructura y su posible impacto operativo.

El fabricante advierte que las medidas de mitigación son temporales y no garantizan una protección completa. Por ello, la actualización a las versiones corregidas constituye la principal acción para abordar estas vulnerabilidades.

Recomendación para administradores y organizaciones

Las organizaciones que utilicen PHP en sitios web, aplicaciones corporativas o servicios expuestos a Internet deben verificar la versión efectiva del intérprete, confirmar que todos los entornos y subdominios estén actualizados y coordinar con sus proveedores de alojamiento las acciones necesarias.

La revisión debe incluir también las instalaciones de PHP utilizadas por procesos auxiliares, tareas programadas y entornos de prueba, ya que estos componentes pueden operar con versiones distintas a las que atienden las solicitudes web.

La alerta de parte del CSIRT Nacional refuerza la importancia de mantener actualizados los componentes de software, monitorear los registros de seguridad y contar con respaldos recuperables para reducir el impacto de eventuales incidentes.

Fuente: CSIRT Nacional de Chile, alerta AVC26-00740, «PHP – Vulnerabilidades Críticas», publicada el 1 de octubre de 2026 y actualizada con información de seguridad del 21 de octubre de 2026.

Referencia: https://csirt.gob.cl/alertas/avc26-00740/

Regresar