PHP2Shell ahora está produciendo ejecución remota de código confirmada contra servidores vulnerables, no meramente análisis o bloqueos. El 24 de octubre de 2026, los investigadores informaron de 35 inicios de shell procedentes de 35 solicitudes de fase de ejecución en tres honeypots de Apache mod_php que ejecutaban PHP 8.4.26. Los administradores deben instalar una versión corregida de PHP, reiniciar todos los procesos de trabajo, verificar la versión servida por la web y buscar indicios de compromiso que se remonten al 17 de octubre de 2026.
¿Se está explotando PHP2Shell activamente?
PHP2Shell ha evolucionado hasta convertirse en una ejecución remota de código operativa en 2026. SecurityWeek informó el 24 de octubre de 2026 de que tres honeypots vulnerables de Apache mod_php registraron 35 solicitudes de fase de ejecución correlacionadas con 35 /bin/sh inicios de procesos. CISA añadió ambas vulnerabilidades asociadas a su catálogo de vulnerabilidades explotadas conocidas el 26 de octubre de 2026.
PHP2Shell es una cadena de explotación que combina el agotamiento de memoria y la divulgación de memoria de PHP para ejecutar comandos de forma remota. Los ataques confirmados contra honeypots utilizaron una secuencia HTTP de cuatro fases en 2026, aunque los investigadores no observaron ninguna descarga de carga útil de segunda fase en ese conjunto de datos.
El resultado bruto es llamativo: 35 inicios de shell divididos entre 35 solicitudes de fase de ejecución equivalen a una tasa de éxito observada del 100%. Hay que tratar esa cifra con cautela. SecurityWeek informó de que la prueba de 2026 utilizó una configuración de Apache mod_php intencionadamente favorable y de un solo proceso de trabajo, por lo que no demuestra una fiabilidad comparable frente a PHP-FPM, implementaciones con varios procesos de trabajo, FrankenPHP, LiteSpeed o todas las aplicaciones web.
Otro informe aporta contexto del mundo real. Sophos indicó el 22 de octubre de 2026 que observó varios intentos y una explotación exitosa desde 45.198.224.169, delivering a payload assessed as the Potassium Mirai variant. Sophos reported no associated ransomware, data theft, or supply-chain compromise, but the observation came from one vendor and shouldn’t be generalized beyond its evidence.
AWS MadPot detected an exploitation attempt on October 17, 2026, four days before PHP publicly released its fixes. The sequence resembles other fast-moving vulnerability events, including the site’s coverage of an vulnerabilidad de Atlassian bajo ataque activo: la aplicación pública de parches y la búsqueda retrospectiva de amenazas deben realizarse conjuntamente.
¿Qué versiones de PHP deben recibir parches?
PHP2Shell afecta a las implementaciones que no han recibido las correcciones de seguridad del 21 de octubre de 2026 para CVE-2026-109618 y CVE-2026-109619. El proyecto PHP publicó las compilaciones corregidas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Actualizar a una compilación corregida o a un backport autenticado del proveedor es la única solución completa.
| Rama de PHP | Versión mínima corregida del proyecto | Acción necesaria en 2026 |
|---|---|---|
| PHP 8.5 | PHP 8.5.12 | Actualizar y reiniciar los procesos de trabajo |
| PHP 8.4 | PHP 8.4.27 | Actualizar y reiniciar los procesos de trabajo |
| PHP 8.3 | PHP 8.3.36 | Actualizar y reiniciar los procesos de trabajo |
| PHP 8.2 | PHP 8.2.35 | Actualizar y reiniciar los procesos de trabajo |
| PHP 8.1 y anteriores | Sin versión periódica del proyecto | Usar un backport de la distribución o de un proveedor de soporte a largo plazo, o actualizar |
Las ramas antiguas crean la trampa operativa más peligrosa. PHP 8.1 y anteriores ya no reciben versiones del proyecto en 2026. El proyecto PHP proporcionó backports mínimos del código fuente para PHP 7.4, 8.0 y 8.1, pero las instalaciones empaquetadas necesitan un backport de la distribución de Linux o del proveedor de soporte a largo plazo, salvo que se migre a una rama compatible.
No hay que suponer que un paquete antiguo está expuesto simplemente porque su versión mostrada parece inferior a la compilación corregida del proyecto. En ocasiones, los proveedores de Linux mantienen una versión base antigua mientras incorporan por backport el código de seguridad y añaden una revisión del paquete. Consulte el aviso del proveedor y el registro de cambios del paquete. Por el contrario, un paquete sin soporte y sin un backport documentado sigue siendo un problema, independientemente de lo estable que parezca el servidor.
¿Qué deberían parchear primero los administradores?
Los entornos de ejecución de PHP expuestos a Internet deben recibir primero las correcciones de PHP2Shell, con Apache mod_php al frente de la cola. El proyecto PHP identificó específicamente Apache mod_php, PHP-FPM, php-cgi, FrankenPHP y las instalaciones de LiteSpeed como entornos en riesgo el 21 de octubre de 2026. Los sistemas internos también requieren corrección una vez asegurados los servicios accesibles externamente.
Comience por los activos que acepten tráfico HTTP no fiable y cargas de formularios multiparte. Los sistemas de gestión de contenidos públicos, los endpoints de carga, los portales de clientes, las pasarelas de API que reenvían solicitudes a PHP y los hosts de preparación olvidados merecen comprobaciones inmediatas del inventario. Un nombre de host de preparación con una supervisión deficiente puede ser un punto de entrada más fácil que el sitio de producción.
Utilice el siguiente orden para contener la exposición sin confundir un control temporal con una solución:
- Identifique todos los hosts y contenedores expuestos a Internet que sirvan solicitudes PHP, incluidos los dominios alternativos y los sistemas de preparación.
- Parchee primero las implementaciones de Apache mod_php y, después, los servicios PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.
- Reinicie los procesos de trabajo web y de PHP pertinentes para que los procesos vulnerables antiguos abandonen la memoria.
- Verifique la compilación de PHP a través de la ruta que sirve la web, en lugar de depender únicamente de un comando de shell.
- Conserve las pruebas e investigue la actividad desde el 17 de octubre de 2026 hasta el momento confirmado del reinicio de los procesos de trabajo.
El bloqueo de las cargas multiparte puede reducir la exposición cuando la aplicación lo permita, según las directrices de AWS publicadas en 2026. Las reglas del WAF y los cambios de configuración siguen siendo medidas de mitigación incompletas. En mi opinión, desactivar una función de carga esencial para el negocio es razonable durante una breve ventana de mantenimiento, pero mantenerla desactivada en lugar de programar la actualización supone una gestión deficiente del riesgo.
Teams handling several urgent maintenance changes should track security work separately from routine certificate automation such as preparations for periodos de validez más cortos de los certificados de Let’s Encrypt. PHP2Shell cuenta con pruebas confirmadas de ejecución de código y, por tanto, merece prioridad en la cola de emergencia.
¿Cómo se verifica la corrección de PHP2Shell?
La corrección de PHP2Shell solo se verifica cuando la compilación de PHP que atiende las solicitudes web contiene la corrección de 2026 y se han reiniciado todos los procesos de trabajo antiguos. Un proyecto comunitario de mitigación advirtió el 26 de octubre de 2026 de que php -v puede inspeccionar una instalación de línea de comandos diferente del tiempo de ejecución de PHP utilizado por Apache o PHP-FPM.
Este es el escollo que muchas listas de comprobación de parches pasan por alto. Un servidor puede tener un binario de PHP para la línea de comandos, otro cargado en Apache y un grupo de PHP-FPM independiente dentro de un contenedor. Ver PHP 8.4.27 en una sesión SSH no demuestra que una solicitud enrutada a través del equilibrador de carga llegue a PHP 8.4.27.
Valídelo mediante un endpoint web controlado, un inventario de servicios o la telemetría del despliegue que exponga la compilación del tiempo de ejecución sin dejar páginas de diagnóstico públicas. Reinicie completamente los procesos de Apache o PHP-FPM después de actualizar. Una recarga gradual puede conservar procesos o grupos según el diseño del servicio, así que confirme las horas de inicio de los procesos y retire los contenedores antiguos.
La compilación corregida también cuenta con evidencias directas de pruebas. SecurityWeek informó en 2026 de que los investigadores no lograron eludir PHP 8.4.27 en sus pruebas con honeypots. Ese resultado respalda la corrección publicada, pero no sustituye la comprobación de los backports del proveedor, de todas las rutas de ejecución ni de posibles compromisos residuales ocurridos antes del reinicio.
¿Qué evidencias de un compromiso de PHP2Shell debería buscar?
La búsqueda de indicios de PHP2Shell debería correlacionar solicitudes POST multipart sospechosas o PHP_SESSION_UPLOAD_PROGRESS con errores de agotamiento de memoria de PHP, respuestas HTTP 500 o 502, bloqueos de procesos de trabajo y cookies de sesión anómalas. AWS indicó el 22 de octubre de 2026 que las evidencias de mayor fiabilidad incluyen que un proceso de trabajo de PHP o Apache genere shells, descargadores o comandos de descubrimiento del sistema.
Un error de memoria por sí solo constituye una evidencia débil, ya que las cargas de trabajo legítimas pueden agotar los límites de PHP. Una respuesta HTTP 500 es aún menos concluyente. La confianza aumenta cuando la misma cronología de la solicitud incluye un bloqueo del proceso de trabajo, un comportamiento extraño de la sesión y un proceso hijo como /bin/sh.
Conserve los registros de acceso y errores web, los registros de PHP, los registros de los servicios, los eventos del WAF, la telemetría de procesos, los registros de auditoría en la nube y los registros de autenticación. AWS recomienda conservar evidencias desde, al menos, el 17 de octubre de 2026 hasta el momento en que se reiniciaron los procesos de trabajo vulnerables. Si los registros rotan a diario, copiarlos antes de aplicar el parche puede evitar que la ventana de actualización borre las mejores pistas.
AWS publicó seis direcciones observadas entre el 17 y el 21 de octubre de 2026: 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, y 95.217.98.37. AWS advirtió de que las direcciones incluyen infraestructura de anonimización compartida. Investigue las coincidencias; no las bloquee automáticamente ni las considere una prueba de compromiso.
Busque más allá de las direcciones indicadas. Los atacantes pueden cambiar de infraestructura más rápido de lo que muchas organizaciones despliegan reglas de cortafuegos, y el malware puede llegar desde una dirección ausente de un aviso público. La actividad de Potassium Mirai notificada recuerda que una explotación exitosa puede convertirse en un punto de apoyo del malware, del mismo modo que los defensores deben distinguir los indicadores de las pruebas al examinar malware dirigido a servidores expuestos.
Sinceramente, la ascendencia de los procesos es la señal más valiosa en este caso. Que un proceso de trabajo web inicie un shell o un descargador es mucho más útil que una colección ruidosa de solicitudes fallidas. Aísle el host, conserve las evidencias volátiles, rote las credenciales expuestas e investigue la actividad lateral antes de devolver el sistema al servicio.
Preguntas frecuentes sobre PHP2Shell
¿Qué CVE están asociados con PHP2Shell?
PHP2Shell hace referencia a CVE-2026-109618 y CVE-2026-109619. PHP publicó correcciones para ambas vulnerabilidades el 21 de octubre de 2026, y CISA añadió ambas a su catálogo de vulnerabilidades explotadas conocidas el 26 de octubre de 2026.
¿Puede un WAF detener por completo PHP2Shell?
Un firewall de aplicaciones web no puede proporcionar una solución completa para PHP2Shell. AWS indicó en 2026 que bloquear las cargas multipartes puede reducir la exposición cuando sea viable, mientras que el proyecto PHP afirma que actualizar es la única solución completa.
¿Tiene PHP 8.1 una versión estable oficial?
PHP 8.1 no tiene una versión fija periódica de upstream porque la rama dejó de contar con soporte de upstream en 2026. Las instalaciones empaquetadas requieren un backport documentado de la distribución o de un proveedor de LTS, o una actualización a una rama de PHP compatible.
¿Deben los administradores bloquear todas las direcciones IP de PHP2Shell publicadas?
Los administradores deberían investigar las seis direcciones que AWS publicó en octubre de 2026, en lugar de bloquearlas todas automáticamente. AWS advirtió que algunas de las direcciones observadas pertenecen a una infraestructura de anonimización compartida, por lo que la coincidencia con una dirección debe considerarse una pista de investigación, no una atribución concluyente.
¿La aplicación de parches elimina una infección existente de PHP2Shell?
Aplicar el parche a PHP2Shell evita la explotación de las vulnerabilidades corregidas, pero no elimina el malware, las cuentas, las tareas programadas ni las credenciales que haya dejado un compromiso anterior. Los administradores deben conservar las pruebas, investigar el host afectado y completar los procedimientos de respuesta ante incidentes después de instalar la corrección.