- ¿Montaste tu web con el KIT digital? Te la podrán hackear por el fallo de PHP si no actualizas
- Tras la crisis de PHP, descubren fallos críticos en Node.js, GitLab, Java y QUIC: actualiza cuanto antes
La semana pasada hablamos de dos graves vulnerabilidades que afectan a PHP. Esto supuso un problema importante para gran parte de Internet, ya que son muchos los sitios web y plataformas que utilizan PHP. Los fallos se denominan PHP2Shell y desde PHP asignaron una puntuación de 9.2 sobre 10 en la escala CVSS, lo que nos demuestra la gravedad. Ahora, están lanzando campañas masivas para explotar estos fallos.
Explotan los fallos de PHP
Se trata de campañas de escaneo masivas que están utilizando scripts de explotación de PHP2Shell y que son de acceso público. Cualquiera puede usarlos y probar para tener la opción de aprovecharse de estos fallos registrados como CVE-2026-109618 y CVE-2026-109619.
Desde Fastly han detectado unas 250.000 solicitudes procedentes de herramientas identificadas como PHP2Shell, originadas desde unas 3.200 direcciones IP públicas. Esto solo contando hasta el 22 de octubre. Ahora bien, estos datos no suponen necesariamente que hayan logrado comprometer algún servidor, además de que incluyen escaneos con fines defensivos.
Hay que mencionar que ambas vulnerabilidades afectan al núcleo de PHP y pueden permitir la ejecución de código remoto sin necesidad de autenticación, bajo determinadas condiciones. En caso de que un servidor reuniera los requisitos necesarios y la explotación funcionara, un atacante podría ejecutar comandos con privilegios elevados.
No se trata, por tanto, de un fallo en WordPress o en cualquier otro gestor de contenidos, sino en el propio motor PHP. Esto es lo que puede provocar un mayor riesgo, ya que no basta con actualizar un plugin o el CMS.
Los datos de Fastly demuestran que son muchos los que están intentando explotar estas vulnerabilidades y comprometer servidores. Utilizan diferentes kits disponibles (más de 10, según el informe) en Internet para lograr explotar estos fallos. Además, 5 de estos kits están vinculados directamente a PHP2Shell, ya sea por su nombre, sus encabezados o su comportamiento.
Actualizar cuanto antes, la solución al problema
Los administradores deben actualizar a las versiones PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12, o bien instalar el paquete corregido proporcionado por su distribuidor. Hay versiones más antiguas que requieren de aplicar parches retroportados verificados y poder solucionar el problema.
Las versiones corregidas corresponden a las ramas 8.2, 8.3, 8.4 y 8.5 de PHP. Es importante que compruebes la versión que utiliza el servidor web y así asegurarte de tener la última versión disponible.
También puedes buscar los registros y revisar si hay peticiones anómalas, errores de PHP, caídas de procesos o conexiones sospechosas. Todo esto puede indicar que ha habido algún problema y conviene actuar lo antes posible.
En caso de que no puedas actualizar de inmediato, lo que debes hacer es limitar el tamaño de las solicitudes, restringir las cargas innecesarias y aislar servicios expuestos para reducir determinados riesgos. Sin embargo, estas medidas no sustituyen la corrección del motor PHP.
Como siempre, tener todo actualizado correctamente es lo que ayuda a evitar vulnerabilidades que podrían aprovechar los piratas informáticos. Asegúrate siempre de tener tus sistemas con todos los parches disponibles, así como cualquier aplicación que uses en tu día a día.