PHP2Shell ya pasó de los intentos fallidos a la ejecución de código confirmada en servidores señuelo. El 24 de octubre, los sensores de Adel Karimi, responsable de detección y respuesta en Perplexity, registraron 35 sesiones de shell en tres honeypots, según SecurityWeek.

🔒 Las fallas críticas CVE-2026-109618 y CVE-2026-109619 permiten ejecución remota de código sin autenticación. PHP publicó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, después de que se filtraran detalles antes de la divulgación prevista; un día antes había pedido preparar la instalación de las actualizaciones.

💻 Los honeypots utilizaban PHP 8.4.26 con Apache mod_php y un solo proceso de trabajo: una configuración deliberadamente favorable al ataque, no una muestra de su fiabilidad en cualquier servidor. En poco más de 26 horas de observación inicial hubo 30 errores por falta de memoria y 11 caídas del proceso, sin ejecución de código; después, una dirección IP abrió tres shells en un señuelo y otra abrió 32 repartidas entre los tres.

⚙️ La cadena empleó cuatro etapas de solicitudes HTTP: agotamiento de memoria, filtración de su contenido y ejecución de un comando de shell, con tráfico muy parecido a una prueba de concepto pública y compatible con CVE-2026-109618. BleepingComputer detalla un volcado de cookies decodificado de 800 KiB y una dirección de función obtenida de esos datos que apareció en el ataque posterior; no se observó la descarga de una segunda carga maliciosa, y Marcus Hutchins, investigador principal de amenazas en Expel, respaldó la evidencia.

📊 Los primeros intentos se remontan al 17 de octubre, cuatro días antes de los parches, y Cloudflare registró millones posteriormente. Amazon detectó actividad temprana; Cloudflare, Hadrian, watchTowr, Previdian y Patchstack también observaron intentos previos a la divulgación, pero hasta estos hallazgos se describían como reconocimiento, identificación de sistemas o exploits sin éxito; el equipo de PHP había indicado que las pruebas de concepto publicadas antes de los parches no funcionaban.

¿Por qué importa? No basta con revisar tu aplicación

El alcance también incluye software integrado en equipos industriales y de tecnología operacional, no solamente páginas web. SecurityWeek documenta avisos de los fabricantes con situaciones distintas: algunos ya tienen actualización, otros sólo mitigaciones y varios siguen investigando.

  • Schneider Electric: están afectados EcoStruxure Security Expert, ProLeiT LINEoptimize —antes Plant iT LMS— y EcoStruxure Control Engineering. Security Expert 1.48.4.0 se obtiene mediante su Customer Care Center; soporte de ProLeiT ofrece una remediación para LINEoptimize, mientras Control Engineering depende por ahora de mitigaciones.
  • Siemens: Ruggedcom APE1808 está afectado cuando ejecuta PAN-OS de Palo Alto Networks en las ramas 10.2, 11.1, 11.2, 12.1 y 12.2. La empresa pide consultar a soporte por los parches y aplicar las medidas alternativas de Palo Alto Networks; confirmó sin afectación productos de las familias CADRA, DFMExpress, HyperLynx, Opcenter, PADS, Polarion, QuadView, Simcenter, Teamcenter y Xpedition.
  • ABB y B&R: las entregas de Manufacturing Execution System que incluyen DokuWiki para mostrar ayuda requieren actualizar los paquetes PHP del servidor que lo aloja. APROL está afectado hasta R 4.4-65; sus parches estaban previstos para el 26 y el 29 de octubre, sin que eso confirme su disponibilidad.
  • Johnson Controls: publicó parches para dispositivos Illustra Flex4, Pro4, Gen5 y Essentials Gen 4. Visonic PowerManage quedó corregido en la versión 5.0.45.
  • Belden: todas las versiones de NetModule NRSW, incluida la edición principal más reciente, están afectadas y todavía no tienen parche; recomienda desactivar la interfaz web. macmon 6.x y 7.x también están afectados: hay parche para 7.x y se recomienda migrar desde 6.x.
  • HMS Networks: lanzó firmware para Netbiter y corrigió o retiró versiones vulnerables de PHP en Talk2M y el servidor de documentación Argos, sin encontrar indicadores de compromiso. Anybus no está afectado.
  • Wibu-Systems: publicó actualizaciones para la interfaz web de CodeMeter License Central y sus extensiones basadas en PHP.
  • Rockwell Automation y Hitachi Energy: siguen evaluando sus productos; Rockwell no había confirmado ninguno afectado al emitir su aviso. Moxa determinó que sus productos no están afectados.

También hay una vulnerabilidad distinta, CVE-2026-115560, para la que el equipo de PHP compartió mitigaciones el 23 de octubre y que seguía sin parche en los reportes. Requiere una combinación poco habitual de configuración y código de aplicación; mientras llega la corrección, la indicación es establecer session.upload_progress.enabled=0, una medida que ya se había recomendado antes de los parches de PHP2Shell.

CISA añadió una regla de detección Sigma a su alerta el 23 de octubre, cuando todavía indicaba no haber observado explotación exitosa. Hasta la mañana del 26 de octubre, las dos fallas no figuraban en su catálogo de vulnerabilidades explotadas conocidas, KEV: ese estado del catálogo no invalida los hallazgos posteriores de los investigadores.

Más reportes, pero no todos prueban lo mismo

The Hacker News informó el 25 de octubre del uso de plataformas de IA agéntica después de explotar PHP2Shell. También reportó un ataque contra una entidad gubernamental europea en el que se accedió a hashes de contraseñas dentro de las dos horas posteriores a la explotación inicial; eso es un reporte separado de las pruebas en honeypots.

Por otro lado, 01net reportó que un participante superó un reto de StealMyBitcoin.com y sustrajo más de 2,000 dólares en bitcoin de un servidor PHP intencionalmente sin parches, unas 20 horas después de abrirse el desafío. El medio también recoge una investigación de Cyfirma que atribuye tentativamente a Lazarus una campaña desde 21 servidores comprometidos contra 216 objetivos en Estados Unidos, Japón, Corea del Sur y la Unión Europea, principalmente administraciones públicas, bancos y aeropuertos.

Cyfirma describe un reconocimiento espaciado y discreto, con rotación y abandono de servidores ante señales de bloqueo: no equivale a confirmar 216 compromisos. La escala potencial sí merece atención: BleepingComputer sitúa el uso de PHP en aproximadamente el 70% de los sitios web y recoge estimaciones de VirusTotal de más de 5.1 millones de hosts PHP expuestos, unos 3.8 millones con al menos un puerto abierto a ataques.

Para quienes desarrollan o administran estos sistemas, la diferencia práctica es revisar tanto el PHP del servidor como el que viene dentro de productos de terceros. La evidencia confirma una cadena funcional bajo condiciones concretas; no demuestra que todas las versiones, configuraciones y aplicaciones sean igual de fáciles de explotar.

💬 ¿Tienes identificado qué versión de PHP ejecutan tus servidores y qué equipos dependen de un parche del fabricante?

¿Pero deveras? 🌵💚