PHP2Shell: vulnerabilidades críticas en PHP obligan a lanzar actualizaciones de emergencia
La agencia estadounidense CISA recomienda desconectar de la red los servidores PHP que no puedan parchearse de inmediato. Un primer intento de ataque se habría producido ya cuatro días antes de la divulgación.
Por Marcel
Traducido automáticamente del alemán · puede contener errores · Leer el original
Debido a dos vulnerabilidades críticas en el lenguaje de programación PHP, el equipo de PHP publicó el miércoles 21 de octubre actualizaciones de emergencia. La agencia estadounidense de ciberseguridad CISA instó a los operadores a actualizar sus sistemas de inmediato o a desconectarlos de la red.
Según la CISA, las vulnerabilidades, bautizadas como PHP2Shell y registradas como CVE-2026-109618 y CVE-2026-109619, permiten la ejecución remota de código sin autenticación. Es decir, los atacantes pueden ejecutar su propio código en un servidor sin necesidad de iniciar sesión. Las vulnerabilidades tienen una puntuación CVSS de 9,2 en una escala que llega hasta 10.
Los fallos están corregidos en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quien utilice PHP 8.1 o anterior, o no pueda actualizar de inmediato, debe desconectar los sistemas de la red, según la recomendación de la CISA. El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido da la misma recomendación para los sistemas que no puedan parchearse de inmediato.
Intento de ataque antes de la divulgación
Según Amazon Threat Intelligence, la división de seguridad del gigante estadounidense, ya el sábado 17 de octubre hubo un intento de explotar las vulnerabilidades, cuatro días antes de su divulgación.
El fabricante de equipos de red Cisco indicó en un aviso de seguridad sobre sus propios productos que su equipo de seguridad no tiene constancia de explotaciones maliciosas. No existen soluciones alternativas, añadió.
Según el diario New York Times, los operadores desconectaron preventivamente muchos sitios web. Un servidor sin parchear habría podido ser tomado por completo.
Cerca del 69 % de los sitios web usan PHP
El alcance del problema se explica por la extensión del lenguaje. Según datos del servicio de análisis W3Techs del 22 de octubre, PHP está detrás del 69,3 % de todos los sitios web en los que se puede identificar el lenguaje del lado del servidor. Solo el sistema de gestión de contenidos WordPress, basado en PHP, representa aproximadamente el 40 % de todos los sitios web del mundo.
PHP se ejecuta en el servidor y genera allí HTML u otras salidas que se envían al navegador. El código fuente en sí permanece en el servidor. Entre los grandes usuarios figuran Wikipedia con su software MediaWiki, los sistemas Drupal, Joomla y Magento, así como la plataforma de comercio Etsy.
El lenguaje nació de una herramienta privada. El programador danés-canadiense Rasmus Lerdorf escribió en 1994/1995 scripts para contar las visitas a su página personal y procesar formularios. En junio de 1995 publicó el código como «Personal Home Page Tools». Hoy PHP significa «PHP: Hypertext Preprocessor».
PHP nunca fue concebido como un lenguaje de programación completo. Lerdorf dijo más tarde que simplemente fue añadiendo siempre el siguiente paso práctico. Como era fácil de aprender y funcionaba en alojamientos web baratos, el lenguaje se convirtió en el estándar para los sitios web dinámicos.
Muchos sitios web funcionan con versiones antiguas de PHP
Según W3Techs, alrededor del 65 % de los sitios web con PHP utilizan la versión 8, el 27 % aún PHP 7 y casi el 8 % PHP 5. Las instalaciones obsoletas con PHP 7 y anteriores siguen siendo un riesgo de seguridad.
Según la PHP Foundation, actualmente PHP 8.5 y 8.4 reciben mantenimiento activo, mientras que PHP 8.3 y 8.2 solo reciben actualizaciones de seguridad. Las versiones anteriores ya no reciben actualizaciones oficiales. El soporte para PHP 8.2 termina a finales de 2026 y el de PHP 8.5, a finales de 2029. La próxima versión, PHP 8.6, está prevista para noviembre.