CISA incluye los dos fallos críticos de PHP en su catálogo de vulnerabilidades explotadas

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió el lunes 26 de octubre los fallos CVE-2026-109618 y CVE-2026-109619 de PHP, conocidos como PHP2Shell, a su catálogo de vulnerabilidades explotadas activamente, según The Register y Security Affairs. Las agencias federales civiles tienen hasta el 29 de octubre para aplicar los parches.

Ambos fallos tienen una puntuación de gravedad CVSS de 9,2 y permiten ejecutar código en servidores PHP sin autenticarse, según The Register. PHP publicó los parches el 21 de octubre; The Register indica que hay que actualizar a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama.

Según The Register, el investigador Adel Karimi registró el 24 de octubre 35 ejecuciones de órdenes con éxito en tres servidores trampa, desde dos direcciones IP, y el laboratorio de inteligencia de amenazas de la Universidad de Delft contabilizó más de 50.000 peticiones de explotación desde más de 600 direcciones IP de 70 países, de las que 171 enviaron código de ataque. Karimi advirtió de que sus servidores trampa tenían una configuración favorable al ataque.

Noticia en estudio: CISA no ha identificado organizaciones comprometidas ni cuántos sistemas reales se han visto afectados. Sophos rectificó su primera valoración y dice que solo vio escaneos e intentos fallidos, y Palo Alto Networks retiró la vinculación de estos fallos con la intrusión en una agencia gubernamental europea, según The Register.