Los fallos críticos de PHP se filtran antes del parche

Seguimiento de PHP publica hoy un parche de seguridad crítico, publicada el 21 de octubre.

Esta mañana contábamos que PHP publicaría hoy a las 14:00 UTC (las 16:00 en la España peninsular) una actualización de seguridad crítica sin dar detalles. Ahora se sabe algo más, y no tranquiliza: según SecurityWeek, la información sobre los dos fallos que corrige ha circulado por internet antes de la divulgación coordinada y de que el parche esté disponible.

Qué se sabe

Las vulnerabilidades se identifican, según las informaciones publicadas, como CVE-2026-109618 y CVE-2026-109619, y ya tienen apodo: PHP2Shell. El nombre sugiere lo que está en juego, que alguien pueda obtener una línea de órdenes en el servidor afectado.

• Las dos tienen una puntuación de 9.2 en la escala CVSS v4.0, según The Hacker News.
• Podrían permitir ejecutar código en remoto. A partir de esa puntuación, el CERT-EU deduce que se podrían aprovechar sin autenticación, según recoge SecurityWeek.
• Un informe apunta a que la primera es un fallo de tipo use-after-free, un uso de memoria ya liberada.
• Las informaciones públicas indican que estarían afectadas todas las versiones desde PHP 5.

Estos dos últimos puntos no están confirmados por el equipo de PHP. Según SecurityWeek, los datos que circulan no detallan la causa del fallo, el componente afectado ni la vía de ataque.

Real, aunque todavía sin ataques

La empresa watchTowr asegura haber reproducido la primera vulnerabilidad, aunque no compartirá detalles hasta que salga el parche. «Aunque por razones obvias no podemos compartir información técnica en este momento, dada su sensibilidad, podemos confirmar que estas vulnerabilidades son reales», ha dicho su consejero delegado, Benjamin Harris.

Tanto watchTowr como Huntress afirman que no han visto ataques que aprovechen los fallos. La firma Sansec, en cambio, prevé que la explotación masiva empiece unos 15 minutos después de que se publique el parche, cuando cualquiera pueda comparar el código corregido con el anterior.

Puede llegar antes de hora

El equipo de PHP advirtió de que adelantará la publicación si se difunden detalles técnicos o aparecen pruebas de ataques reales. Con la información ya circulando, conviene tener todo listo desde ya: saber qué versión de PHP sirve tus páginas y de dónde viene, tener copia de seguridad y reservar un rato para actualizar y reiniciar el servidor web o PHP-FPM.

Quien tenga la web en un alojamiento gestionado depende de su proveedor. Hoy es buen día para preguntarle cuándo piensa aplicar el parche.

Fuentes: SecurityWeek, The Hacker News