Susana Riva La Agencia Nacional de Ciberseguridad ha emitido una alerta nacional que indica que el 81,9% de los servicios PHP detectados en el país están potencialmente expuestos a la nueva vulnerabilidad PHP2Shell . El análisis proviene de Csirt Italia , que monitorizó más de 741.523 instancias de PHP e identificó 285.149 versiones vulnerables. Esta es una situación sin precedentes para el panorama digital italiano, dado que PHP impulsa la gran mayoría de los sitios web a nivel mundial.
Los dos fallos críticos de PHP2Shell
Las vulnerabilidades, identificadas con los códigos CVE-2026-109618 y CVE-2026-109619 , se clasifican como críticas con una puntuación CVSS v4.0 de 9,2 . Ambas son vulnerabilidades de uso después de la liberación de memoria y se producen en situaciones de falta de memoria . Un atacante remoto no autenticado puede explotar solicitudes HTTP especialmente diseñadas (por ejemplo, multipart) para forzar el agotamiento de la memoria, corromper estructuras internas y, en última instancia, ejecutar código arbitrario con los privilegios del proceso PHP.
Detalles técnicos de los dos CVE
La prima vulnerabilità (CVE-2026-109618) surge de una gestión inadecuada de la función longjmp() Cuando PHP deja de procesar debido a la falta de memoria, esto deja las estructuras internas en un estado inconsistente, lo que abre la puerta a la manipulación de la memoria.
El segundo (CVE-2026-109619) se refiere a mantener referencias a memoria ya liberada en situaciones de tiempo de espera o errores críticos, especialmente al monitorear cargas de sesión o generar rastreos de pila en PHP 8.5.
Una tercera vulnerabilidad aún no ha sido parcheada.
La agencia también informó que CVE-2026-115560, que permite la ejecución remota de código si el parámetro session.serialize_handler se modifica a php antes de comenzar la sesión y session.upload_progress.enabled permanece activo. Actualmente no hay ninguna solución disponible; la mitigación recomendada es deshabilitar esta función configurando session.upload_progress.enabled=0.
Instrucciones operativas para los gerentes
Las autoridades exigen medidas inmediatas, priorizando los sistemas directamente expuestos a Internet. Las recomendaciones incluyen:
- Actualiza todos los componentes PHP a las versiones correctas (8.5.12, 8.4.27, 8.3.36, 8.2.35).
- Deshabilitar el parámetro
session.upload_progress.enabledestableciéndolo en 0. - Configure los firewalls de aplicaciones web (WAF) en modo de bloqueo con reglas específicas para las vulnerabilidades en cuestión.
- Si no es posible actualizar, considere la posibilidad de desconectar temporalmente los servicios vulnerables.
- Realizar un análisis retrospectivo de los registros para identificar solicitudes HTTP anómalas, errores de memoria o fallos inesperados del proceso PHP.
Finalmente, es esencial comprobar la versión de PHP que está utilizando tanto a nivel de línea de comandos (php -v) tanto dentro del servidor web (por ejemplo apachectl -M | grep php para mod_php o ps -eo pid,ppid,args | grep '[p]hp-fpm' (para PHP-FPM). Solo así podremos garantizar que las correcciones sean realmente efectivas.