¿Qué es PHP2Shell? Dos vulnerabilidades RCE críticas en PHP

Qué está expuesto según el proyecto PHP

El aviso de php.net del 21 de octubre abarca toda instalación de PHP que atienda peticiones web y menciona PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto sitúa el mayor riesgo en mod_php: un exploit demostrado permite que una petición sin autenticación desencadene el ataque antes de que se ejecute el código de la aplicación. El endurecimiento a nivel de aplicación no ayuda en esa vía.

El mismo aviso indica que solo una actualización es una solución completa. Los ajustes provisionales reducen la superficie de ataque en algunas vías y no hacen segura una instalación. La CISA llega a la misma conclusión: parchear de inmediato y desconectar los sistemas basados en PHP si no es posible actualizar, incluido expresamente PHP 8.1 y anteriores.

En qué se diferencian los dos fallos

Ambos están en código que recorre casi cada petición. La PHP Foundation describe CVE-2026-109618 como un manejo de falta de memoria que puede dejar datos internos parcialmente inicializados, que PHP trata después como válidos. Describe CVE-2026-109619 como un error fatal en el momento equivocado, tras el cual un estado interno apunta a memoria de una petición anterior, de modo que una petición posterior en el mismo worker usa memoria liberada. Wiz y Cloudflare citan, además de la ejecución remota de código y la denegación de servicio, la divulgación de memoria del proceso, que puede contener secretos de otras peticiones. Esta página no describe cómo construir un exploit.

• CVE-2026-109618Corrupción OOM. CVSS v4.0 9.2. GHSA-w8hw-w9fx-j79w.
• CVE-2026-109619Estado global obsoleto. CVSS v4.0 9.2. GHSA-6wmf-4rv5-p3rp.

Qué versiones

Los rangos que circulan no son idénticos, y unificarlos sería inventar una precisión que los fabricantes no han publicado. El mensaje de oss-security del equipo de seguridad de PHP sobre CVE-2026-109618 cita PHP 8.2 antes de 8.2.35, 8.3 antes de 8.3.36, 8.4 antes de 8.4.27 y 8.5 antes de 8.5.12. Son las ramas con versiones publicadas. El proyecto también indicó que 8.1 y anteriores ya no tienen soporte upstream y que publicó backports mínimos de código fuente para 7.4, 8.0 y 8.1.

Wiz afirma que toda versión de PHP de aproximadamente la última década, hasta la 5.4, está afectada por al menos uno de los fallos. Google Cloud cita de 5.4 a 8.5.11, Cloudflare PHP 5.4 o posterior. La FAQ de watchTowr, publicada por primera vez el 20 de octubre antes del aviso del fabricante, cita PHP 5, 7 y 8. Expel ve en los backports la prueba de que 7.4, 8.0 y 8.1 están afectadas y señala que PHP no se ha pronunciado sobre 7.3 y anteriores; Expel aconseja considerar en riesgo todo PHP sin soporte expuesto a tráfico web. La tabla de versiones pone estas afirmaciones una junto a otra.

Explotación: intentos, no un número confirmado de intrusiones

• AWS indica que un honeypot MadPot registró el 17 de octubre de 2026, cuatro días antes de la divulgación, un intento de explotación desde la IP de una red de anonimización comercial. El 21 de octubre aparecieron más intentos y exploits de prueba de concepto, unas horas antes del fin del embargo; no está claro si alguno habría tenido éxito en sistemas reales. Tras el parche, AWS describe intentos de explotación generalizados.
• Cloudflare indica que observó tráfico de ataque después de que se filtraran detalles antes de la publicación oficial, y que los atacantes modificaron sus payloads para eludir las reglas WAF. Cloudflare no da ningún número de compromisos exitosos en la publicación consultada.
• watchTowr indica que observa intentos activos de explotación de ambas CVE. SecurityWeek informa de que watchTowr no ha observado intentos exitosos.
• La alerta de la CISA del 21 de octubre indica que la CISA no había observado explotación hasta su publicación, y aun así insta a parchear de inmediato.
• Expel (a 21 de octubre de 2026, 20:00 UTC) no había confirmado explotación en clientes, y ninguna de las CVE figuraba en el catálogo KEV de la CISA. La FAQ de watchTowr del 22 de octubre sigue indicando que no están en el KEV, al igual que Tanium para la actualización del KEV del 21 de octubre a las 14:04 UTC. Este sitio volvió a consultar el feed JSON del KEV de la CISA el 22 de octubre de 2026 hacia las 08:05 UTC: la versión 2026.10.21 del catálogo (publicada el 21 de octubre a las 14:04 UTC) seguía sin incluir ninguna de las dos CVE.

AWS, el Centro Canadiense de Ciberseguridad (como información de fuentes abiertas) y Expel informan de código público de prueba de concepto. Expel añade que el código que circula puede no estar verificado e incluso ser malicioso. No lo enlazamos ni lo reproducimos.

La magnitud, con cautela

Wiz destaca como cifra clave que PHP impulsa la gran mayoría de los sitios web; Cloudflare habla de casi el 70 %. Es una cuota de sitios web, no un número de servidores explotables. La estimación recogida por The Record ronda los 5,1 millones de direcciones IP según un análisis de VirusTotal, con las salvedades indicadas en la página de inicio. ThreatCluster indica que aproximadamente cuatro de cada cinco servidores PHP detectados no revelan su versión.

PHP también está presente en appliances y paneles de hosting. El NCSC británico remite a un inventario del NCSC-NL de productos que dependen de PHP, como lista de partida y no como censo completo. Google Cloud indica que su plataforma no es vulnerable como tal, pero que los clientes que usan PHP en App Engine, Cloud Run, GKE o imágenes de Marketplace pueden serlo.

El descubrimiento según los implicados

Wiz Research afirma que los fallos existían desde hacía más de una década y que los modelos de frontera hicieron viable una cadena de explotación. Google Cloud cita a Wiz e indica que Gemini 4 Argon contribuyó al descubrimiento, al desarrollo del exploit, a la detección y a la validación del parche. The Record informa de que la PHP Foundation dijo que una revisión con IA dio la alarma por primera vez en agosto de 2026, con indicios ya en 2024. Son afirmaciones de las organizaciones implicadas. No cambian nada en la corrección: actualizar.