Las vulnerabilidades PHP2Shell permiten tomar el control de servidores web sin iniciar sesión; la CISA, la NSA y el FBI de EE. UU. alertan de aplicar parches de inmediato o apagar los servidores

WASHINGTON

Dos vulnerabilidades críticas que permiten la ejecución de comandos en servidores sin autenticación han sido descubiertas en PHP, un lenguaje de programación ampliamente utilizado en sitios web y servidores de aplicaciones web, lo que llevó a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU., la Agencia de Seguridad Nacional (NSA) y la Oficina Federal de Investigación (FBI) a instar sucesivamente a la aplicación inmediata de parches. Entre el 21 y el 23 de octubre (hora de EE. UU.), las tres agencias anunciaron los identificadores de vulnerabilidad CVE-2026-109618 y CVE-2026-109619 mediante alertas, comunicados de prensa y un aviso de servicio público (PSA). Las tres coincidieron en recomendar que las organizaciones que no puedan actualizar de inmediato desconecten y dejen fuera de línea los sistemas afectados.

La CISA afirma que las vulnerabilidades «php2shell» permiten la ejecución remota de código sin autenticación

En una alerta emitida el 21 de octubre, la CISA declaró que las dos vulnerabilidades, denominadas «php2shell», permiten la ejecución remota de código sin autenticación en PHP. Todas las instalaciones de PHP que atienden solicitudes web se ven afectadas. La CISA citó como ejemplos la combinación de Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. Entre estas, la combinación con mod_php fue clasificada por los responsables de PHP como de máximo riesgo, añadió la CISA.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La CISA declaró que las organizaciones deben actualizar a estas versiones de inmediato. Sin embargo, la CISA señaló que, hasta el momento de publicar la alerta, no había observado ataques exitosos en el entorno real explotando estas vulnerabilidades. La cuenta de CISA Cyber publicó el mismo día en X los dos identificadores de vulnerabilidad, advirtiendo a las organizaciones de que deben aplicar los parches de inmediato.

La CISA actualizó la alerta el 23 de octubre, añadiendo reglas de detección SIGMA para identificar actividades sospechosas e incorporando materiales de agencias asociadas. Los materiales de los socios incluyen orientaciones del Centro Nacional de Ciberseguridad del Reino Unido, el Centro Australiano de Ciberseguridad dependiente de la Dirección de Señales de Australia, el Centro Nacional de Ciberseguridad de Nueva Zelanda, el Centro Canadiense de Ciberseguridad y el Centro Nacional de Ciberseguridad de los Países Bajos.

El mismo día, la NSA también emitió una alerta mediante un comunicado de prensa independiente.

La NSA advierte que es muy probable que los actores cibernéticos conviertan las vulnerabilidades en armas

En un comunicado de prensa emitido el 21 de octubre, la NSA señaló que los desarrolladores de PHP publicaron parches de código abierto ese mismo día (miércoles). La NSA explicó que PHP (abreviatura de «PHP: Hypertext Preprocessor») funciona en la mayoría de los principales sistemas operativos, se ejecuta directamente en servidores web y se incrusta en código HTML para crear páginas web dinámicas. Dado su uso tan extendido, la NSA indicó que esta falla puede crear un entorno propicio para la explotación. La NSA denominó a este conjunto de vulnerabilidades «PHP2Shell» y declaró que prioriza la identificación de actores cibernéticos maliciosos que intenten explotarlas.

La NSA afirmó que un atacante podría tomar el control de los servidores web afectados sin acceso previo ni autenticación. Mediante esta vía, un atacante podría robar datos confidenciales, interrumpir servicios o desplazarse a mayor profundidad dentro de una red, añadió la NSA. La NSA señaló que las vulnerabilidades son defectos propios de PHP y no de las aplicaciones alojadas o las configuraciones, por lo que los servidores que ejecutan las versiones afectadas de PHP quedan expuestos a ataques.

La NSA, responsable de la seguridad nacional de Estados Unidos, declaró que «es probable que los actores cibernéticos conviertan las vulnerabilidades de PHP2Shell en armas». Debido a la gravedad del riesgo, señaló que se requiere la aplicación inmediata de parches en todos los departamentos y agencias del gobierno federal de EE. UU. La NSA recomendó mantener la vigilancia sobre los dispositivos y servicios expuestos a internet que dependen de PHP durante las próximas semanas, mejorar el registro de eventos y reemplazar los servicios PHP que hayan llegado al fin de su vida útil (EOL) y sean incompatibles con los parches. La cuenta de ciberseguridad de la NSA también publicó la alerta en X ese mismo día.

En la publicación, la NSA indicó que estas vulnerabilidades a menudo proporcionan una ruta directa al sistema de archivos o a la base de datos del servidor. Recomendó desconectar los sistemas y dejarlos fuera de línea si no es viable una actualización inmediata, y adelantó que en breve publicará directrices detalladas.

La NSA aconsejó seguir de cerca las actualizaciones, señalando que otros proveedores de software podrían publicar parches a medida que estén disponibles, y precisó que las directrices de mitigación más recientes pueden consultarse en la página de avisos de seguridad de los desarrolladores de PHP. La NSA afirmó que colaborará con la comunidad de inteligencia, la CISA y otros expertos para identificar y corregir vulnerabilidades en los sistemas gubernamentales y de seguridad nacional.

La CISA exige un inventario exhaustivo de los sistemas que utilizan PHP

La CISA exigió en primer lugar que las organizaciones identifiquen todos los sistemas en los que se ejecuta PHP dentro de sus entornos. La CISA señaló que, dado que PHP suele estar integrado dentro de otros programas, es posible que no sea evidente a simple vista. A continuación, la CISA instó a aplicar parches de inmediato empezando por los sistemas expuestos a internet. Las organizaciones que no puedan actualizar de inmediato o que continúen utilizando versiones de PHP 8.1 o anteriores que ya no reciben soporte deben desconectar los sistemas basados en PHP hasta que concluya el parcheado o la actualización.

La CISA instó a revisar los avisos de seguridad oficiales de los desarrolladores de PHP para comprobar las instrucciones de parcheado. La CISA indicó que los cortafuegos de aplicaciones web pueden proporcionar cierta protección provisional hasta que se actualicen los sistemas. Asimismo, la CISA recomendó monitorizar actividades sospechosas, como procesos de trabajo de PHP ejecutando intérpretes de comandos o descargando herramientas.

El FBI emitió el 23 de octubre el aviso de servicio público I-102326-PSA, tras una publicación en redes sociales realizada el 21 de octubre. El FBI afirmó que PHP es un lenguaje de programación de uso generalizado que impulsa sitios y aplicaciones web, y que las dos vulnerabilidades podrían permitir que actores cibernéticos maliciosos ejecuten código de forma remota en el núcleo de PHP, poniendo en riesgo datos y redes confidenciales. La División Cibernética del FBI publicó la noticia en X el 21 de octubre.

El FBI declaró que las actualizaciones de seguridad ya están disponibles y deben aplicarse de inmediato. Al identificar dónde está presente PHP, el FBI instó a priorizar los sistemas expuestos a internet y los productos comerciales que incluyen PHP empaquetado, así como a vigilar en los servidores web si los procesos de PHP ejecutan de manera imprevista terminales de comandos o descargan archivos. El FBI indicó que la información más actualizada puede consultarse en los avisos de los desarrolladores de PHP, el aviso de seguridad 2026-018 del CERT-EU de la Unión Europea y el catálogo de vulnerabilidades explotadas conocidas (KEV) de la CISA. El FBI exigió a las empresas y a los operadores de sitios web verificar si sus sistemas se ven afectados. En caso de detectar indicios de intrusión, instó a aislar los sistemas afectados, preservar los registros del servidor web y de PHP, y notificar a la oficina local del FBI más cercana o a ic3.gov. El FBI señaló que estos informes ayudan a los organismos encargados de hacer cumplir la ley a identificar a los responsables y alertar a otras organizaciones antes de que sufran daños.

Fuentes (KST)

• CISA de EE. UU., «Critical Vulnerabilities in PHP Require Immediate Patching» (Publicado el 21 de octubre de 2026, actualizado el 23 de octubre): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Agencia de Seguridad Nacional (NSA) de EE. UU., «NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities» (21 de octubre de 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Oficina Federal de Investigación (FBI) de EE. UU., «Critical Vulnerability Alert: PHP Core» (Aviso de servicio público I-102326-PSA, 23 de octubre de 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Publicación en X de la cuenta CISA Cyber: https://x.com/CISACyber/status/2112947079458717969
• Publicación en X de la cuenta de ciberseguridad de la NSA: https://x.com/NSACyber/status/2112903220209098897
• Publicación en X de la División Cibernética del FBI: https://x.com/FBICyberDiv/status/2112921648252719420