PHP2shell: dos vulnerabilidades críticas permiten ejecución remota de código en PHP
Dos fallos críticos en PHP permiten ejecución remota de código sin autenticación y ya hay exploits circulando. Los parches están en las ramas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El equipo de seguridad de PHP publicó parches para dos vulnerabilidades críticas, registradas como CVE-2026-109618 y CVE-2026-109619, que permiten ejecución remota de código sin necesidad de autenticarse. El conjunto de fallos se difundió con el nombre de PHP2shell y afecta a cualquier instalación que sirva peticiones web. Ya existen exploits públicos, y las autoridades de ciberseguridad recomiendan parchear de inmediato o retirar de línea los servicios expuestos.
El alcance es amplio: PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed figuran entre las configuraciones afectadas. El caso de mod_php es el más delicado, porque el ataque se dispara antes de que corra una sola línea del código de la aplicación, de modo que no hay middleware ni validación propia capaz de frenarlo. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Un detalle llamativo del caso es cómo se encontraron los fallos: modelos de inteligencia artificial de Calif, OpenAI y Wiz participaron en la detección. La firma de investigación watchTowr reportó explotación real en curso, con pruebas de concepto generadas por IA. El episodio muestra que las mismas herramientas que aceleran la auditoría de código a gran escala también reducen la barrera para construir atacantes.
Para los equipos que mantienen servicios en producción, la recomendación práctica es actualizar en la ventana más corta posible, revisar qué procesos siguen ejecutándose con mod_php y analizar registros de peticiones anómalas anteriores al parche. Desactivar módulos heredados y exponer solo lo necesario reduce la superficie de ataque mientras se completa la actualización.
Fuente: The Register / TechCrunch