PHP prepara dos parches de emergencia para fallos críticos de ejecución remota

Los mantenedores de PHP anuncian dos correcciones con severidad 9,2 sobre 10 y piden preparar los servidores antes de que se publiquen, quizá en horas.

Qué ha pasado

El proyecto PHP comunicó el lunes que lanzará correcciones para dos vulnerabilidades, ambas calificadas con 9,2 sobre 10. Según Ars Technica, el aviso llegó tras la filtración de supuestos detalles técnicos, que de momento no han sido confirmados de forma independiente.

Animamos a todos los usuarios de PHP a prepararse ya para poder actualizar en cuanto esté disponible la versión.

Aviso de los mantenedores de PHP (traducción editorial)

Los mantenedores se reservan además el derecho de adelantar la publicación si los detalles se hacen públicos o aparecen pruebas de explotación activa. La filtración incluía un vídeo de una herramienta llamada PHP2Shell ejecutando código en servidores con WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal y WHMCS. watchTowr afirma haber confirmado que los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, son reales y que afectarían a todas las versiones desde PHP 5.

Por qué importa

PHP es una pieza base de la web: mueve gestores de contenidos, tiendas y muchas herramientas internas. Un investigador estima que unos 1,3 millones de hosts conectados a Internet podrían estar afectados. Sansec espera ataques masivos a los 15 minutos de la publicación, y Wordfence y Huntress también piden anticiparse.

Las recomendaciones de preparación son concretas: identificar quién gestiona PHP en la organización, inventariar todas las aplicaciones que lo usan, reservar una ventana de mantenimiento desde las 14:00 UTC con plan por si el lanzamiento se adelanta, hacer copia de archivos y bases de datos, y vigilar la portada de PHP.net. Algunos expertos sugieren incluso desconectar sistemas no esenciales hasta parchearlos. Nuestra recomendación editorial es simple: haced el inventario hoy, no cuando salga el parche.

Qué no sabemos aún

No se ha localizado el informe original de la filtración y los detalles técnicos de las vulnerabilidades siguen sin confirmarse públicamente. Tampoco sabemos si el alcance real coincide con lo mostrado en el vídeo. Hasta que los mantenedores publiquen las versiones corregidas, lo prudente es asumir que el riesgo es real y mantenerse atentos al aviso oficial.

Cronología

1. 23 OCT PHP advirtió de otro posible riesgo de ejecución remota de código, CVE-2026-115560, dos días después de los parches de emergencia de PHP2Shell. Solo afecta a aplicaciones con una configuración inusual y no habrá corrección de emergencia; se recomienda desactivar una función. https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html
2. 23 OCT Cloudflare ha registrado millones de intentos de explotación de dos vulnerabilidades críticas de PHP desde que se hicieron públicos los detalles el miércoles, según su CEO, Matthew Prince. PHP es un lenguaje de programación que impulsa gran parte de la web. https://thenextweb.com/news/cloudflare-php2shell-millions-exploit-attempts
3. 23 OCT Sitios web gubernamentales y servicios públicos de toda Europa quedaron fuera de línea esta semana mientras las organizaciones respondían a dos vulnerabilidades de PHP recién divulgadas, según The New Stack. https://thenewstack.io/php2shell-ai-patch-race/
4. 22 OCT Según Ars Technica, los atacantes ya estaban sondeando la vulnerabilidad PHP2Shell cuatro días antes de que los defensores supieran que existía, lo que les dio una ventaja inicial. https://arstechnica.com/security/2026/10/hackers-got-a-four-day-head-start-on-epic-php2shell-vulnerability/
5. 21 OCT PHP publicó parches de emergencia para dos fallas críticas, conocidas como PHP2Shell, que permiten a un atacante sin cuenta ejecutar código en un servidor web. Las correcciones llegan en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y solo actualizar protege por completo. https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
6. 21 OCT PHP prepara dos parches de emergencia para fallos críticos de ejecución remota

Artículos relacionados de LaRebelión

FortiBleed sigue activa: el FBI alerta sobre 86.644 credenciales Fortinet robadasLibreOffice y OpenOffice: una hoja de cálculo puede ejecutar código sin avisarCitrix parchea un zero-day de NetScaler explotado que tumba despliegues SAML

Fuentes originales: arstechnica.com · https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html · https://arstechnica.com/security/2026/10/hackers-got-a-four-day-head-start-on-epic-php2shell-vulnerability/ · https://thenewstack.io/php2shell-ai-patch-race/ · https://thenextweb.com/news/cloudflare-php2shell-millions-exploit-attempts · https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html

Artículo generado mediante AI.larebelion