Los ataques PHP2Shell ejecutaron comandos de shell en tres servidores honeypot el 24 de octubre, informó el investigador de Perplexity Adel Karimi. Sus sensores registraron 35 lanzamientos de shell, lo que aporta pruebas de que los ataques habían avanzado más allá de las caídas y los errores de memoria observados durante su monitorización anterior.
El hallazgo tiene un alcance concreto: los servidores señuelo de Karimi ejecutaban PHP 8.4.26 con Apache mod_php y un único proceso worker. Describió esa configuración como deliberadamente favorable a la explotación y advirtió de que los resultados no permiten afirmar su fiabilidad con otras versiones de PHP, otras aplicaciones o un número distinto de workers.
Las dos vulnerabilidades críticas conocidas como PHP2Shell, CVE-2026-109618 y CVE-2026-109619, permiten la ejecución remota de código sin autenticación. Según SecurityWeek, PHP publicó los parches el 21 de octubre, después de que información sobre los fallos se filtrara en internet. Los intentos de explotación se produjeron antes de las correcciones, y desde entonces se han registrado millones. Antes de los hallazgos de Karimi, las empresas de seguridad no habían confirmado que esos intentos hubieran ejecutado código con éxito, aunque los investigadores ya habían desarrollado exploits que eludían las protecciones ASLR.
Lo que capturaron los honeypots
Los servidores de Karimi mostraban páginas normales respaldadas por PHP. Durante su primer periodo de observación, de algo más de 26 horas, contabilizó 30 errores de falta de memoria y 11 caídas de procesos worker, sin detectar ejecución de código.
La actividad del 24 de octubre arrojó un resultado distinto. El tráfico de una dirección IP lanzó tres shells en un servidor; una segunda dirección fue responsable de 32 lanzamientos de shell repartidos entre los tres honeypots.
Karimi siguió la actividad a través de cuatro etapas de peticiones HTTP, que incluyeron agotamiento de memoria, revelación del contenido de la memoria y, por último, la ejecución de un comando de shell. Señaló que el patrón de peticiones se parecía mucho a un exploit de prueba de concepto disponible públicamente y era coherente con CVE-2026-109618. Por tanto, la observación no demuestra la explotación exitosa de ambas vulnerabilidades de PHP2Shell.
Karimi calificó las pruebas como ejecución remota de código confirmada, con una revelación de memoria utilizable. No se observó la descarga de ningún payload de segunda etapa. Marcus Hutchins, investigador principal de amenazas de Expel, lo consideró la confirmación más sólida de explotación de PHP2Shell en entornos reales que había visto hasta ahora.
Exposición más amplia y guía de parches
La configuración demostrada es más limitada que el alcance afectado descrito en la alerta de CISA. Según la agencia, las vulnerabilidades afectan a todas las instalaciones de PHP que gestionan peticiones web, incluidas Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. Identifica Apache con mod_php como la configuración que PHP considera de mayor riesgo.
CISA indica que las versiones corregidas de cada rama son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Insta a aplicar los parches de inmediato, dando prioridad a los sistemas expuestos a internet, y a elaborar un inventario que incluya el PHP incluido dentro de otros programas.
Para las organizaciones que no puedan actualizar de inmediato, incluidas las que ejecutan PHP 8.1 o versiones anteriores sin soporte, CISA recomienda desconectar los sistemas basados en PHP hasta que puedan parchearse o actualizarse. Según la agencia, un cortafuegos de aplicaciones web (WAF) podría ofrecer cierta protección provisional. Sus recomendaciones de monitorización incluyen vigilar los procesos worker de PHP que inicien shells o descarguen herramientas.
La actualización de la alerta de CISA del 23 de octubre añadió una regla de detección Sigma e indicó que, en ese momento y antes de las observaciones de Karimi del 24 de octubre, la agencia no había observado explotaciones exitosas. SecurityWeek informó de que, a la mañana del 26 de octubre, ninguna de las dos vulnerabilidades se había añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
