La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos añadió dos vulnerabilidades de PHP2Shell a su catálogo de Vulnerabilidades Explotadas Conocidas el 26 de octubre de 2026, lo que confirma la explotación de fallos que pueden permitir a los atacantes ejecutar código sin autenticación en implementaciones de PHP afectadas.
La alerta de CISA identifica CVE-2026-109618 y CVE-2026-109619. Ambas tienen puntuaciones CVSS v4.0 de 9,2. Según Siemens, las vulnerabilidades se divulgaron el 21 de octubre; la inclusión en el catálogo no establece cuándo comenzó la explotación.
The Hacker News informó que PHP publicó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y que las agencias federales tienen hasta el 29 de octubre para aplicarlas. CISA indica que su directiva vinculante de gestión de vulnerabilidades se aplica a las agencias del Poder Ejecutivo Federal Civil, mientras anima a otras organizaciones a priorizar las vulnerabilidades incluidas en el catálogo.
Qué muestran las pruebas de explotación
Las vulnerabilidades afectan al manejo que hace PHP de la memoria utilizada para las solicitudes web. Según el aviso técnico de Arista, CVE-2026-109618 puede dejar la memoria de la solicitud sin inicializar tras un error de falta de memoria, lo que permite que la limpieza de la solicitud la lea o actúe sobre ella. CVE-2026-109619 implica un estado interno que puede seguir apuntando a la memoria de la solicitud una vez liberada. Ambas condiciones pueden derivar en ejecución remota de código.
The Hacker News citó a Adel Karimi, responsable de detección y respuesta en Perplexity, quien confirmó la ejecución exitosa de código en sistemas honeypot el 24 de octubre. Karimi informó de un volcado de cookies decodificado de 800 KiB y afirmó que una dirección de función derivada de él, usando los desplazamientos del exploit público, apareció en una carga útil de ejecución posterior.
Este hallazgo tiene un límite concreto: Karimi señaló que la cadena demostrada utilizó una configuración de mod_php con un solo worker, intencionadamente favorable. No mide la fiabilidad del exploit con otros números de workers, otras compilaciones de PHP u otras aplicaciones. La filtración de memoria y la ejecución observadas establecen lo que ocurrió en esos honeypots, pero no establecen el mismo resultado para todas las implementaciones afectadas.
El estado específico de cada producto cambia la acción requerida
El aviso de Arista, actualizado el 26 de octubre, indica que ningún producto o plataforma de software de Arista sigue afectado. El servicio en la nube CloudVision CUE y Arista Edge Threat Management sí estuvieron afectados, pero ya recibieron versiones corregidas de PHP. Arista afirma que los servicios en la nube afectados están remediados y que los clientes no necesitan tomar ninguna medida. Asimismo, dice desconocer cualquier explotación maliciosa en redes de clientes.
Siemens identifica un alcance afectado distinto en el aviso SSA-566512: todas las versiones de RUGGEDCOM APE1808 que ejecutan Palo Alto Networks PAN-OS en las ramas de publicación 10.2, 11.1, 11.2, 12.1 y 12.2. Según Siemens, los clientes deben contactar con soporte para obtener información sobre parches y actualizaciones, y aplicar las medidas de mitigación de los avisos de seguridad originales de Palo Alto Networks.
Esa exposición no abarca a todos los productos de Siemens. Su aviso de software, actualizado el 26 de octubre, enumera como no afectados productos como Teamcenter, Solid Edge, Capital y los productos Opcenter especificados, porque no usan PHP.
Correcciones separadas de Brotli para las compilaciones de PHP en Windows
The Hacker News también informó de que las compilaciones de Windows de PHP Foundation 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, publicadas a más tardar el 26 de octubre, corrigen un desbordamiento de escritura fuera de límites en el decodificador Brotli, CVE-2026-111497, que es un problema distinto. Estas versiones corrigen una vulnerabilidad adicional, además de las dos vulnerabilidades de PHP2Shell explotadas.
Según el comunicado de PHP Foundation citado en ese informe, se puede acceder al decodificador vulnerable a través de la extensión cURL de PHP cuando está habilitada la descompresión automática de respuestas HTTP. Esa configuración está deshabilitada por defecto en cURL, pero las aplicaciones y las bibliotecas cliente HTTP pueden habilitarla.
El aviso de Microsoft para CVE-2026-111497 describe el impacto en .NET como una elevación de privilegios a través de la red, y la marcó como no explotada en el momento de su publicación original. Para .NET y ASP.NET Core, la descompresión Brotli también está deshabilitada por defecto: las aplicaciones deben optar por la descompresión de solicitudes o respuestas, o invocar directamente las API de descompresión Brotli. La confirmación de explotación de CISA se refiere a las dos vulnerabilidades de PHP2Shell, no a esta vulnerabilidad separada de Brotli.
