TLP:CLEAR

Estimados clientes,

Como actualización al boletín emitido anteriormente sobre PHP2Shell, se informa de nuevos hallazgos relacionados con las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, ambas clasificadas con una puntuación CVSS v4.0 de 9,2 (Crítica), que permiten la ejecución remota de código (RCE) sin autenticación en determinadas instalaciones vulnerables de PHP.

Las investigaciones recientes de Amazon Threat Intelligence han identificado intentos de explotación desde el 17 de octubre de 2026, cuatro días antes de la publicación oficial de los parches. Asimismo, proveedores de seguridad como Cloudflare han observado un incremento significativo de solicitudes maliciosas dirigidas a servidores PHP expuestos a Internet.

Adicionalmente, el 23 de octubre de 2026, el equipo de PHP informó sobre una nueva vulnerabilidad, CVE-2026-115560, asociada al mecanismo de seguimiento de cargas de archivos mediante sesiones (session upload progress). Esta vulnerabilidad presenta un escenario de exposición más limitado, depende de configuraciones específicas y permanece pendiente de corrección en una futura actualización del fabricante.

Ante estos nuevos acontecimientos, se recomienda a los administradores verificar las actualizaciones aplicadas, revisar las configuraciones de PHP y reforzar el monitoreo de posibles intentos de explotación.

Descripción de las vulnerabilidades

Las vulnerabilidades originales afectan a componentes internos del intérprete PHP, concretamente a la gestión de memoria y al estado de las solicitudes HTTP.

• CVE-2026-109618: RCE mediante Out-of-Memory (OOM). Un fallo durante la gestión de memoria puede interrumpir la inicialización de estructuras internas de PHP. Su posterior procesamiento puede provocar corrupción de memoria y permitir ejecución de código arbitrario.
• CVE-2026-109619: RCE mediante stale global state. Determinadas referencias internas pueden mantenerse después de liberar su memoria. Una solicitud posterior, procesada por el mismo PHP worker, puede reutilizar ese estado de forma insegura, generando condiciones susceptibles de explotación.
• CVE-2026-115560: RCE asociada a session upload progress. Afecta a un escenario específico en el que una aplicación configura session.serialize_handler como php_binary o php_serialize, lo modifica posteriormente a php mediante ini_set() antes de ejecutar session_start() y mantiene habilitada la funcionalidad session.upload_progress.enabled.

La nueva CVE no constituye, según la información oficial disponible, una demostración de que los parches anteriores hayan sido eludidos. Se trata de un vector adicional, dependiente de una configuración poco habitual. Tampoco se han publicado evidencias confirmadas de explotación activa de CVE-2026-115560.

Versiones Afectadas

Las dos vulnerabilidades originales afectan a instalaciones PHP que procesan solicitudes web, incluyendo Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera que las implementaciones mediante mod_php presentan un riesgo especialmente elevado.

Respecto a CVE-2026-115560, todavía no se ha publicado una relación definitiva de versiones afectadas ni una versión corregida. Las actualizaciones del 21 de octubre no incluyen la corrección de este nuevo vector.

La afectación no depende de la presencia de un archivo PHP específico. Deben revisarse las instalaciones del intérprete, las configuraciones php.ini, los PHP-FPM pools y los componentes PHP integrados en servidores, CMS, appliances, contenedores y aplicaciones de terceros.

Avances de Investigación y Actividad Maliciosa

Los informes publicados desde el 21 de octubre confirman un incremento en la actividad de reconocimiento e intentos de explotación de PHP2Shell. Amazon Threat Intelligence detectó en su infraestructura de honeypots MadPot solicitudes relacionadas con estas vulnerabilidades desde el 17 de octubre y observó nuevos intentos durante el 21 de octubre, procedentes de distintas infraestructuras de origen.

Cloudflare también identificó actividad maliciosa contra sus clientes y desplegó protecciones específicas mediante su WAF. Las investigaciones señalan que los atacantes han modificado sus payloads para intentar superar los mecanismos de detección.

Adicionalmente, se han comunicado intentos de utilizar estas vulnerabilidades para distribuir malware asociado a variantes de Mirai. Sin embargo, la observación de un payload malicioso o una solicitud bloqueada no confirma por sí sola la ejecución de código en el servidor objetivo.

Estas evidencias refuerzan la necesidad de revisar los registros históricos, incluyendo la actividad registrada desde el 17 de octubre de 2026.

Herramienta de Validación de Exposición – Trend Micro

Trend Micro ha puesto a disposición una herramienta online para una evaluación preliminar de la posible exposición de servidores web: https://php2shell.trendmicro.com/

La herramienta permite comprobar sitios web públicos mediante el análisis de información expuesta en los HTTP headers y determinados elementos del contenido HTML, sin necesidad de ejecutar payloads de explotación.

Esta verificación puede ayudar a identificar instalaciones potencialmente vulnerables cuando la versión de PHP resulta detectable. Sin embargo, los resultados no constituyen una confirmación definitiva de vulnerabilidad ni garantizan la ausencia de riesgo.

Conclusiones

PHP2Shell constituye una amenaza relevante para las infraestructuras web, especialmente debido a la rápida aparición de intentos de explotación y a la existencia de actividad maliciosa anterior a su divulgación pública. La prioridad sigue siendo aplicar los parches oficiales para CVE-2026-109618 y CVE-2026-109619, complementados con la deshabilitación de session.upload_progress.enabled cuando corresponda, mientras se publica la corrección de la nueva vulnerabilidad.

Recomendaciones

• Verificar la actualización efectiva de PHP y confirmar versiones corregidas en servidores, pools, contenedores y aplicaciones.
• Deshabilitar session.upload_progress.enabled=0 cuando no resulte necesario y reiniciar los PHP workers.
• Revisar aplicaciones que modifican dinámicamente session.serialize_handler mediante ini_set().
• Reforzar WAF y controles de exposición.
• Realizar threat hunting retrospectivo desde el 17 de octubre de 2026.
• Mantener seguimiento de nuevas actualizaciones relacionadas con CVE-2026-115560.

Indicadores de Compromiso (IOCs) y Monitoreo

Amazon Threat Intelligence publicó indicadores asociados a intentos de explotación. Deben usarse para investigación y correlación, no como confirmación automática de compromiso.

Fuentes

• https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
• https://php2shell.trendmicro.com/
• https://blog.cloudflare.com/php-vulnerabilities-waf-protection
• https://www.php.net/index.php#2026-10-23-1
• https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html