Qué hacer
esta semana 26 de octubre de 2026
critica · chile

Vulnerabilidades críticas PHP2Shell bajo explotación activa en PHP

Dos vulnerabilidades críticas de PHP, bautizadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619), permiten ejecución remota de código sin autenticación en toda instalación que sirva peticiones web: Apache con mod_php (el escenario de mayor riesgo según el propio proyecto PHP), PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Esta semana — prioridad 1

Actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 según la rama en uso, priorizando servidores con Apache + mod_php. esfuerzo medio · attack M1051 · cis 7.1 · iso27001 A.8.8
Eliminar la exposición directa a Internet de PHP-FPM y php-cgi, dejándolos siempre detrás de un reverse proxy. esfuerzo medio · attack M1030 · cis 12.2 · iso27001 A.8.20

Este mes — prioridad 2

Ejecutar el proceso del servidor web con usuario sin privilegios de escritura sobre el docroot. esfuerzo bajo · attack M1022 · cis 3.3 · iso27001 A.8.3
Desplegar o validar sensor EDR/Sysmon-Linux en hosts con servidores PHP para capturar telemetría de creación de procesos. esfuerzo medio · attack M1040 · cis 8.2 · iso27001 A.8.16

Qué necesitas tener logueado

Telemetría de creación de procesos en Linux (Sysmon for Linux, auditd, o EDR equivalente) en hosts con servidor PHP
Logs de acceso y error del servidor web (Apache, nginx, LiteSpeed)
Logs de WAF/reverse proxy frente a las instancias PHP
Logs de firewall/proxy saliente para detectar conexiones post-compromiso hacia infraestructura de botnet

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/vulnerabilidades-criticas-php2shell-explotacion-activa-php/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.