La mayoría de los servidores PHP siguen expuestos a exploits críticos de PHP2Shell a pesar de las advertencias

Cinco días después de la divulgación pública de dos vulnerabilidades críticas de PHP conocidas como PHP2Shell, las firmas de seguridad informan que la gran mayoría de los sistemas expuestos a Internet siguen sin parches y son objetivo activo de los atacantes. A pesar de las urgentes advertencias de agencias gubernamentales y grandes proveedores de tecnología, los esfuerzos de remediación han quedado significativamente rezagados respecto a la velocidad de los intentos de explotación.

Qué ocurrió

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación del Common Vulnerability Scoring System (CVSS) de 9,2, lo que indica un riesgo grave de ejecución de código remoto. Dado que PHP impulsa aproximadamente el 70% de los sitios web con lenguajes de servidor identificables, incluidas muchas instalaciones de WordPress, el impacto potencial es masivo. Sin embargo, los datos de Ox Security revelan que, al 26 de octubre, el 93,6% de los sistemas seguían expuestos a estos fallos. Moshe Siman Tov Bustan, de Ox Security, señaló que, aunque el pánico se extendió por los titulares, el parcheo real apenas avanzó, dejando activos críticos desprotegidos justo cuando aparecieron exploits de prueba de concepto en libertad.

Escaneos independientes realizados por otras firmas de seguridad corroboran esta lenta respuesta. Censys informó que, si bien 11,2 millones de servicios PHP parecían parcheados, 32,5 millones aún anunciaban versiones inseguras. Una complicación significativa es que el 58% de los servicios PHP detectados, sumando más de 61 millones, no revelaron sus números de versión, muchos de los cuales probablemente ejecutan software sin soporte. Flare descubrió que casi tres cuartas partes de los 2,2 millones de registros PHP que rastreaba estaban en ramas ya no soportadas por el proyecto PHP. De manera similar, Mallory identificó unos 1,9 millones de servicios expuestos a Internet, o el 73,5% de su muestra, ejecutando versiones de PHP sin soporte que no reciben parches oficiales.

Detalles clave

• Ox Security informa que el 93,6% de los sistemas permanecieron expuestos a las vulnerabilidades de PHP2Shell cinco días después de la divulgación.
• Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 tienen una puntuación CVSS de 9,2 y permiten la ejecución de código remoto.
• Los datos de Censys muestran 32,5 millones de servicios PHP que reportan versiones inseguras, mientras que 61,3 millones de servicios ocultan su información de versión.
• Estudios de Flare y Mallory indican que aproximadamente el 73-75% de los servicios PHP rastreados funcionan en ramas sin soporte y sin correcciones oficiales.
• Cloudflare observó que los intentos de explotación saltaron de miles a millones en cuestión de horas tras el anuncio público.
• La Agencia de Seguridad y Resiliencia de Infraestructura de EE. UU. (CISA) exigió la remediación para las agencias federales antes del 29 de octubre de 2026.

Antecedentes

PHP2Shell se refiere a un par de fallos críticos que permiten a los atacantes ejecutar código arbitrario en servidores que ejecutan versiones vulnerables de PHP. Cuando se divulga una vulnerabilidad, la respuesta estándar es aplicar un parche de seguridad proporcionado por el mantenedor del software. Para las versiones de PHP con soporte, esto suele ser una actualización sencilla. Sin embargo, una gran parte de Internet funciona con versiones antiguas de PHP, fuera de vida útil, que ya no reciben actualizaciones de seguridad del proyecto PHP. En estos casos, los administradores no pueden simplemente parchear el software; deben actualizar todo el entorno PHP, lo que a menudo requiere probar aplicaciones para verificar la compatibilidad y trabajar con proveedores para garantizar la estabilidad. Esta complejidad ralentiza significativamente los esfuerzos de remediación en comparación con el simple parcheo.

Por qué importa

Para los equipos que gestionan infraestructura autoalojada, la prevalencia de versiones de PHP sin soporte presenta un riesgo operativo grave. Si sus servidores ejecutan una rama obsoleta de PHP, no puede depender de una simple actualización de paquetes para corregir CVE-2026-109618 o CVE-2026-109619. En cambio, enfrenta un complejo proyecto de migración que podría romper las aplicaciones existentes. El retraso en el parcheo significa que los atacantes disponen de una amplia ventana para comprometer los sistemas antes de que se refuercen las defensas. Como observó Matthew Prince, CEO de Cloudflare, los intentos de explotación escalaron de miles a millones en pocas horas tras el anuncio, lo que indica que los bots automatizados ya están escaneando objetivos vulnerables.

La situación se complica aún más por el hecho de que muchas organizaciones desconocen que están ejecutando software sin soporte. Con el 58% de los servicios PHP que no divulgan sus números de versión, es difícil evaluar la verdadera escala de la exposición. Los mandatos gubernamentales, como el plazo de la CISA para las agencias federales de EE. UU., destacan la gravedad de la amenaza, pero las entidades del sector privado deben gestionar proactivamente su propio riesgo. No actuar podría resultar en violaciones de datos, interrupciones del servicio o toma completa del sistema, como evidencian los intentos confirmados de ejecución de código remoto registrados por investigadores de seguridad.

Qué puede hacer

• Audite inmediatamente su inventario de servidores para identificar todas las instancias que ejecutan PHP, anotando específicamente qué versión y rama utiliza cada instancia.
• Priorice la actualización de cualquier sistema que ejecute versiones de PHP sin soporte a una versión actualmente compatible, incluso si esto requiere refactorizar aplicaciones.
• Aplique parches de seguridad oficiales a todos los sistemas que ejecuten versiones de PHP compatibles para abordar CVE-2026-109618 y CVE-2026-109619.
• Implemente firewalls de aplicaciones web o sistemas de detección de intrusiones para bloquear patrones de exploit conocidos asociados con PHP2Shell.
• Considere tomar temporalmente fuera de línea los sistemas no críticos o altamente vulnerables si el parcheo o la actualización inmediata no son factibles.
• Monitoree los registros en busca de señales de intentos de ejecución de código remoto, como spawns de procesos inusuales o conexiones de red inesperadas desde procesos del servidor web.