Los investigadores han confirmado la explotación exitosa de dos vulnerabilidades críticas de PHP2Shell que permiten ejecutar comandos de forma remota en servidores vulnerables sin autorización previa. Antes, los especialistas habían detectado intentos de ataque, pero no podían confirmar que los atacantes hubieran logrado ejecutar código malicioso.
Fuente de la imagen: Ben Griffiths/Unsplash
La confirmación la ha aportado Adel Karimi, responsable del área de detección de amenazas y respuesta a incidentes en Perplexity. Sus servidores trampa registraron un ataque exitoso contra un sistema con Apache mod_php y PHP 8.4.26. Durante el ataque, el intruso obtuvo unos 800 KiB (kibibytes) de datos de la memoria del proceso y después utilizó la dirección de función extraída para preparar la siguiente fase.
Tras enviar el último byte de la solicitud correspondiente, el servidor ejecutó un comando de shell en aproximadamente 1,6 ms. Los resultados también los ha confirmado el investigador de la empresa Expel Marcus Hutchins, que seguía los mensajes sobre la explotación exitosa de PHP2Shell.
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, agrupadas bajo el nombre PHP2Shell, fueron corregidas por el equipo de desarrollo de PHP el 21 de octubre. Antes de que salieran los parches, la información sobre las vulnerabilidades y algunos exploits de demostración aparecieron en acceso público, aunque los desarrolladores afirmaban que las variantes publicadas no funcionaban.
Las empresas Cloudflare, Hadrian, watchTowr, Previdian y Patchstack también informaron de intentos de ataque que en aquel momento no llegaban a una explotación exitosa. Los especialistas de Amazon Threat Intelligence detectaron los primeros intentos de ataque ya el 17 de octubre, cuatro días antes de que se publicaran las correcciones.
PHP se utiliza en aproximadamente el 70 % de los sitios de internet. Según las estimaciones de VirusTotal, hay más de 5,1 millones de hosts con PHP en acceso público, y cerca de 3,8 millones de ellos tienen al menos un puerto accesible para posibles ataques. Por eso, la explotación exitosa de PHP2Shell representa actualmente una amenaza para un número considerable de servidores que funcionan con esta tecnología.