PHP lanzará parches de seguridad urgentes para dos vulnerabilidades críticas

Image: Ars Technica · Source

Los mantenedores de PHP planean liberar parches de emergencia para dos vulnerabilidades de alta gravedad con una puntuación de 9.2, abordando un exploit llamado PHP2Shell que permite la ejecución remota de código en múltiples plataformas basadas en PHP.

PHP, un lenguaje de scripting de código abierto ampliamente utilizado que impulsa muchos sitios web y aplicaciones, está a punto de lanzar parches de seguridad de emergencia para dos vulnerabilidades críticas. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, han sido calificadas con una puntuación de severidad de 9.2 sobre 10 por los mantenedores de PHP. Se espera que el lanzamiento del parche sea inminente, con advertencias de que la publicación de detalles o pruebas de explotación activa podría adelantar su liberación.

Un informe no verificado apareció junto con un video de demostración de una herramienta de explotación llamada PHP2Shell, que supuestamente permite la ejecución remota de código en servidores web que ejecutan varios sistemas de gestión de contenido y aplicaciones basadas en PHP. Estos incluyen plataformas populares como WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel versiones 8.83.29 y 13.36.0, Symphony 8.1.9, Drupal 11.4.10, y WHMCS 9.0.9.

La firma de seguridad watchTowr indicó que estas vulnerabilidades afectan a todas las versiones de PHP desde PHP 5, lanzada en 2004, y ha confirmado su autenticidad de forma independiente. Varias firmas de seguridad, incluyendo Sansec, Webfence y Huntress, han emitido advertencias, con Sansec prediciendo intentos masivos de explotación poco después de la publicación de los parches.

Se insta a los administradores a prepararse de manera proactiva identificando a los responsables del mantenimiento de PHP, inventariando las aplicaciones basadas en PHP, programando una ventana de mantenimiento —recomendada para iniciar a las 14:00 UTC, pero posiblemente antes— y asegurando copias de seguridad completas de sitios web y bases de datos. Los expertos también recomiendan monitorear de cerca el sitio oficial PHP.net para actualizaciones o una posible liberación adelantada de los parches.

Dado que PHP es fundamental para millones de sitios web y herramientas internas en todo el mundo —se estima que 1.3 millones de hosts conectados a internet podrían ser vulnerables— el impacto de estas fallas de seguridad podría ser amplio. Se aconseja a las organizaciones considerar desconectar temporalmente sistemas no esenciales hasta que se apliquen los parches. La vigilancia sigue siendo crucial, ya que los parches podrían publicarse en cualquier momento para mitigar amenazas activas.