==============================================================================
  VULNERABILIDADES CRÍTICAS PHP2SHELL BAJO EXPLOTACIÓN ACTIVA EN PHP
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/vulnerabilidades-criticas-php2shell-explotacion-activa-php
  Publicado:   2026-10-26  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-26 13:57  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Telemetría de creación de procesos en Linux (Sysmon for Linux, auditd, o EDR equivalente) en hosts con servidor PHP
  · Logs de acceso y error del servidor web (Apache, nginx, LiteSpeed)
  · Logs de WAF/reverse proxy frente a las instancias PHP
  · Logs de firewall/proxy saliente para detectar conexiones post-compromiso hacia infraestructura de botnet

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible explotación PHP2Shell: shell generado desde proceso de servidor web
==============================================================================
  Requiere: Telemetría de creación de procesos (ParentImage/Image) vía Sysmon for Linux o auditd traducido a formato Sigma-compatible.

title: Posible explotación de PHP2Shell vía shell hijo de proceso web
id: e3f9a2c1-7b5d-4a18-9f3e-2d6c8a1b4f70
status: experimental
description: Detecta la generación de un intérprete de comandos como proceso hijo de procesos típicos de servidores PHP (php-fpm, apache2, httpd, nginx, litespeed, frankenphp, php-cgi). Patrón consistente con explotación post-RCE de CVE-2026-109618 / CVE-2026-109619 u otro webshell equivalente.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentImage|endswith:
      - '/php-fpm'
      - '/apache2'
      - '/httpd'
      - '/nginx'
      - '/litespeed'
      - '/frankenphp'
      - '/php-cgi'
  selection_child:
    Image|endswith:
      - '/sh'
      - '/bash'
      - '/dash'
      - '/python3'
      - '/perl'
      - '/curl'
      - '/wget'
  condition: selection_parent and selection_child
falsepositives:
  - Scripts legítimos que invocan shell_exec/exec/system de PHP para tareas administrativas (backups, conversión de imágenes)
  - Plugins de CMS que ejecutan utilidades del sistema de forma legítima
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Shell generado desde servidor PHP (Defender for Endpoint - Linux)
==============================================================================
  Requiere: Microsoft Defender for Endpoint con sensor Linux habilitado sobre los hosts que corren PHP (tabla DeviceProcessEvents).

DeviceProcessEvents
| where InitiatingProcessFileName has_any ("php-fpm", "apache2", "httpd", "nginx", "litespeed", "frankenphp", "php-cgi")
| where FileName has_any ("sh", "bash", "dash", "python3", "perl", "curl", "wget")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine, AccountName

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Detección de shell hijo de proceso PHP vía auditd
==============================================================================
  Requiere: Agente Wazuh con integración auditd (reglas de ejecución execve) habilitada en los hosts con servidor PHP.

<rule id="100620" level="12">
  <if_group>audit_command</if_group>
  <field name="audit.exe">php-fpm|apache2|httpd|nginx|litespeed|frankenphp|php-cgi</field>
  <field name="audit.execve.a0">^sh$|^bash$|^dash$|^python3$|^curl$|^wget$</field>
  <description>Posible explotación PHP2Shell: shell generado desde proceso de servidor web (CVE-2026-109618 / CVE-2026-109619)</description>
  <mitre>
    <id>T1190</id>
  </mitre>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Esta detección se basa en un patrón de comportamiento, no en un payload
  específico, así que generará ruido en entornos donde scripts PHP legítimos
  invocan shell_exec, exec o system para tareas administrativas (backups
  automatizados, conversión de imágenes, utilidades de mantenimiento
  embebidas en cron). Antes de subir el nivel de alerta, levanta una lista
  blanca de esos scripts conocidos y sus rutas, y corre la regla en modo
  silencioso (solo log) durante al menos una semana.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================