La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió el lunes 26 de octubre los dos fallos de PHP2Shell (CVE-2026-109618 y CVE-2026-109619) a su catálogo de vulnerabilidades explotadas conocidas (KEV). Es la forma oficial de decir que hay pruebas de ataques reales. Las agencias civiles del gobierno federal tienen hasta el jueves 29 de octubre para corregirlos, y CISA pide a cualquier organización que no pueda actualizar que desconecte de internet sus sistemas con PHP.
PHP2Shell es el nombre que recibe un par de vulnerabilidades del intérprete de PHP, el lenguaje con el que funciona una gran parte de la web, de WordPress a muchas tiendas en línea. Las dos tienen una puntuación de 9.2 sobre 10 y permiten ejecutar código en el servidor sin iniciar sesión. El 21 de octubre contamos que PHP había publicado un parche de emergencia (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35), y al día siguiente, que Amazon había detectado un intento de ataque cuatro días antes de ese parche.
Lo que faltaba era saber si esos ataques funcionaban. La semana pasada, CISA decía que aún no había visto ninguna explotación con éxito; dos empresas de seguridad, Sophos y Palo Alto Networks, publicaron que sí la habían visto y después se retractaron. La entrada en el catálogo KEV cambia la postura oficial, aunque CISA no ha explicado en qué pruebas se basa ni quiénes son las víctimas.
Claves de lo que se sabe esta semana
- Qué dice CISA: registra los fallos como «PHP Memory Corruption Vulnerability» y «PHP Stale Internal Request-State Vulnerability», y los vincula a su directiva BOD 26-04, que obliga a las agencias civiles federales a corregirlos. El plazo, el 29 de octubre según The Register y The Record, no obliga a nadie fuera de ese ámbito, pero CISA pide a todas las organizaciones que les den prioridad.
- Qué cuenta como «explotado»: un portavoz de CISA aclaró a The Record que, según las reglas del catálogo, la explotación activa incluye tanto los intentos como los ataques con éxito. Es decir, la inclusión por sí sola no demuestra que se hayan comprometido servidores reales.
- Ataques con éxito, en servidores trampa: Adel Karimi, investigador de seguridad de Perplexity, registró el 24 de octubre 35 ejecuciones de órdenes con éxito en tres honeypots con PHP 8.4.26 sobre Apache y mod_php, desde dos direcciones IP. El ataque agotaba la memoria y la filtraba para lograr la ejecución de código, coherente con CVE-2026-109618 y sin rastro del segundo fallo. Karimi advierte de que sus trampas usaban una configuración favorable al atacante, con un solo proceso de PHP, que no refleja necesariamente un servidor en producción. Los atacantes intentaron descargar más programas con PHP, curl y wget, sin conseguirlo.
- Miles de intentos: el laboratorio de inteligencia de amenazas de la Universidad Técnica de Delft (TU Delft) contó más de 50,000 peticiones de explotación desde más de 600 direcciones IP de 70 países. De esas direcciones, 171 fueron más allá de sondear y enviaron código de ataque o descargadores de malware.
- Cuántos servidores faltan: según el panel de Censys que cita The Record, de unos 42 millones de servicios PHP expuestos a internet, más de 10 millones se han actualizado desde el 21 de octubre. La preocupación de los expertos son los millones de sitios con versiones de PHP antiguas que probablemente no se pueden actualizar.
- Sitios desconectados: The Record informa de que decenas de gobiernos y empresas dejaron sus webs fuera de línea la semana pasada mientras se aclaraba el alcance del fallo.
Qué cambia con la entrada en el catálogo KEV
El catálogo KEV es, en la práctica, la lista de lo que hay que parchear primero. Muchas empresas, aseguradoras y proveedores de hosting fuera de Estados Unidos lo usan para decidir prioridades, así que la decisión de CISA convierte PHP2Shell de un «fallo crítico teórico» en una tarea con fecha. Y las pruebas de Karimi responden a la duda que había la semana pasada, cuando varios desarrolladores sostenían que las pruebas de concepto públicas no funcionaban contra un PHP normal: con una configuración concreta, el ataque funciona.
Para quien administra un servidor, el consejo no cambia, pero ya no admite espera. Comprueba la versión con php -v y, si es anterior a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, actualiza y reinicia PHP-FPM o Apache. Si usas una versión sin soporte, la única salida es migrar a una rama corregida o recurrir a los parches de tu distribución o de tu proveedor. CISA añade que un firewall de aplicaciones web (WAF) puede dar algo de protección durante un tiempo, pero no sustituye al parche. Y si el servidor estuvo expuesto, revisa los registros desde el 17 de octubre: en la guía Cómo saber si atacaron tu WordPress explicamos cómo hacerlo.
Una semana después del parche, PHP2Shell ya tiene ataques documentados, una fecha límite oficial y unos 30 millones de servicios que, según las cifras de Censys, aún no se han actualizado. Es probable que los próximos días traigan los primeros casos confirmados de servidores reales comprometidos.
Más fuentes: The Register, «CISA confirms PHP2Shell under attack as researchers clock successful exploits» (plazo, Perplexity, TU Delft y retractaciones) y The Record, «CISA warns of PHP bug exploitation attempts, gives federal agencies days to patch» (definición de explotación activa, recomendaciones de CISA, Censys y sitios desconectados). Logotipos de PHP y CISA: Wikimedia Commons.
Fuente: CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog», 26 de octubre de 2026