Vulnerabilidades críticas PHP2Shell bajo explotación activa en PHP

Dos fallas de ejecución remota de código sin autenticación (CVE-2026-109618 y CVE-2026-109619) afectan toda instalación PHP que sirva peticiones web; CISA, SANS ISC y CSA Labs confirman intentos de explotación activa, incluidos despliegues de malware tipo Mirai.

Qué pasó

El 21 de octubre, CISA emitió una alerta urgente instando a parchear de inmediato CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades en PHP agrupadas bajo el apodo PHP2Shell que permiten ejecución remota de código (RCE) sin autenticación.

Según la alerta y el aviso del propio proyecto PHP, las fallas afectan toda instalación de PHP que procese peticiones web, incluyendo:

• Apache con mod_php — el escenario que PHP considera de mayor riesgo
• PHP-FPM
• php-cgi
• FrankenPHP
• LiteSpeed

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CISA actualizó la alerta el 23 de octubre para añadir una regla Sigma de detección, incorporar recursos de socios y reforzar la guía de mitigación — una señal de que, aunque la alerta original no reportaba explotación confirmada, el escenario estaba evolucionando rápido.

Y efectivamente evolucionó: entre el 23 y el 25 de octubre, SANS ISC publicó un *wrap-up* de la vulnerabilidad con infocon en amarillo, segu-info documentó evidencia real de RCE en un caso observado, y The Hacker News reportó intentos de explotación masiva con despliegue de malware Mirai, además de actividad de escaneo global que investigadores vinculan, con reservas, a Corea del Norte. CSA Labs, por su parte, publicó una nota de investigación que plantea explotación previa a la divulgación pública de la falla, describiéndola además como una vulnerabilidad hallada mediante IA.

Adicionalmente, dos días después del parche de emergencia, PHP advirtió sobre otro riesgo de RCE sin parchear, sin CVE asignado al momento de esta publicación — un dato relevante que separa de las dos CVE principales y que amerita seguimiento propio.

Por qué importa acá

No tenemos una entidad chilena identificada como víctima ni una alerta de ANCI asociada a este caso — y no la vamos a inventar.

Lo que sí es razonable afirmar, como evaluación de confianza alta, es que PHP sostiene una fracción muy significativa del parque de sitios web chilenos: WordPress, Drupal y Magento —todos basados en PHP— son las plataformas más usadas por pymes, retailers y medios en Chile, típicamente desplegadas en hosting compartido o VPS donde php-cgi o PHP-FPM quedan expuestos directamente o detrás de un proxy mínimamente configurado. No contamos con una cifra exacta de exposición local — eso lo dejamos como no sabemos hasta que haya telemetría de ANCI o de un escaneo propio.

Lo que cambia el cálculo de riesgo es la naturaleza de la falla: no requiere autenticación, afecta el modo de despliegue más común (mod_php, que el propio PHP marca como el de mayor riesgo) y ya hay evidencia —no solo teórica— de explotación con fines de reclutamiento a botnets tipo Mirai, es decir, barrido automatizado masivo más que un ataque dirigido. Ese tipo de explotación no discrimina geografía: escanea rangos de IP completos.

Si una organización chilena identifica un servidor PHP comprometido a partir de esta vulnerabilidad y ese servicio califica como esencial bajo la Ley 21.663, corresponde evaluar el deber de reporte a ANCI. No precisamos aquí plazos específicos porque no los verificamos contra el texto reglamentario vigente para este caso puntual; lo que sí corresponde hoy es registrar el hallazgo, documentar la cadena de eventos y tenerla lista si el reporte aplica.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Vector de entrada: una instancia PHP expuesta a Internet (Apache/mod_php, PHP-FPM, php-cgi, FrankenPHP o LiteSpeed) procesa una petición que dispara CVE-2026-109618 o CVE-2026-109619 sin requerir credenciales.
• T1505.003 — El nombre 'PHP2Shell' describe el objetivo típico post-explotación: dejar una web shell en el docroot para acceso persistente, consistente con lo reportado por segu-info como 'evidencia real de RCE'.
• T1059.004 — Tras el RCE, el proceso del servidor web (php-fpm, apache2, httpd) genera un intérprete de shell como proceso hijo para ejecutar comandos — la base de la regla de detección de esta pieza.
• T1584.005 — The Hacker News reporta intentos de desplegar malware Mirai sobre hosts PHP comprometidos, es decir, reclutamiento a una botnet existente más que un objetivo de espionaje dirigido.

title: Posible explotación de PHP2Shell vía shell hijo de proceso web
id: e3f9a2c1-7b5d-4a18-9f3e-2d6c8a1b4f70
status: experimental
description: Detecta la generación de un intérprete de comandos como proceso hijo de procesos típicos de servidores PHP (php-fpm, apache2, httpd, nginx, litespeed, frankenphp, php-cgi). Patrón consistente con explotación post-RCE de CVE-2026-109618 / CVE-2026-109619 u otro webshell equivalente.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentImage|endswith:
      - '/php-fpm'
      - '/apache2'
      - '/httpd'
      - '/nginx'
      - '/litespeed'
      - '/frankenphp'
      - '/php-cgi'
  selection_child:
    Image|endswith:
      - '/sh'
      - '/bash'
      - '/dash'
      - '/python3'
      - '/perl'
      - '/curl'
      - '/wget'
  condition: selection_parent and selection_child
falsepositives:
  - Scripts legítimos que invocan shell_exec/exec/system de PHP para tareas administrativas (backups, conversión de imágenes)
  - Plugins de CMS que ejecutan utilidades del sistema de forma legítima
level: high

DeviceProcessEvents
| where InitiatingProcessFileName has_any ("php-fpm", "apache2", "httpd", "nginx", "litespeed", "frankenphp", "php-cgi")
| where FileName has_any ("sh", "bash", "dash", "python3", "perl", "curl", "wget")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine, AccountName

<rule id="100620" level="12">
  <if_group>audit_command</if_group>
  <field name="audit.exe">php-fpm|apache2|httpd|nginx|litespeed|frankenphp|php-cgi</field>
  <field name="audit.execve.a0">^sh$|^bash$|^dash$|^python3$|^curl$|^wget$</field>
  <description>Posible explotación PHP2Shell: shell generado desde proceso de servidor web (CVE-2026-109618 / CVE-2026-109619)</description>
  <mitre>
    <id>T1190</id>
  </mitre>
</rule>

Fuentes

• CISACritical Vulnerabilities in PHP Require Immediate Patching · 2026-10-21
• SANS ISCCritical PHP Vulnerability (CVE-2026-109618, CVE-2026-109619) [infocon yellow] · 2026-10-21
• SANS ISCPHP Vulnerability Wrap-Up · 2026-10-23
• CSA LabsPHP2Shell: Exploitation Before Disclosure for an AI-Found Flaw · 2026-10-23
• segu-infoObservación de una explotación tipo PHP2Shell con evidencia real de RCE · 2026-10-25
• The Hacker NewsPHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware · 2026-10-23
• The Hacker NewsPHP2Shell Exploitation Attempts Continue Amid Suspected N. Korea Global Scanning Activity · 2026-10-25
• The Hacker NewsPHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches · 2026-10-23
• Hispasec una-al-díaPHP publica parches de urgencia por dos fallos críticos PHP2Shell con intentos de explotación · 2026-10-21

Relacionado