PHP2Shell: CISA confirma explotación activa y lo suma al KEV

CISA confirmó la explotación activa de PHP2Shell el lunes 26 de octubre de 2026 al agregar CVE-2026-109618 y CVE-2026-109619 a su catálogo Known Exploited Vulnerabilities (KEV). Son dos fallas críticas de ejecución remota de código sin autenticación en el núcleo de PHP, ambas con CVSS 9,2. El parche de PHP salió el 21 de octubre; según The Hacker News y BleepingComputer, las agencias federales de EE.UU. deben remediar antes del jueves 29 de octubre.

Esta nota es el seguimiento oficial a las alertas que publicamos el 21 y 22 de octubre. Si tu sitio, tienda, intranet o panel de hosting aún no está en una versión corregida, la prioridad es actualizar PHP hoy.

Qué confirmó CISA

• Entrada al KEV: el 26 de octubre CISA añadió ambas CVE al catálogo de vulnerabilidades con explotación conocida y actualizó su alerta de PHP.
• CVE-2026-109618: corrupción de memoria por falta de memoria (out-of-memory corruption) que permite RCE sin autenticación.
• CVE-2026-109619: estado interno de petición obsoleto (stale internal request-state) que también permite RCE sin autenticación.
• Severidad: CVSS 9,2 (crítica), según The Hacker News y el análisis de AWS Security sobre PHP2Shell.
• Plazo federal: Binding Operational Directive (BOD) 26-04 aplica a agencias FCEB de EE.UU.; la cobertura periodística sitúa el remedio antes del 29 de octubre. CISA recomienda a todas las organizaciones priorizar las entradas del KEV.

Antes de la entrada al KEV, varios equipos ya reportaban intentos o evidencia de explotación. Adel Karimi (Perplexity) documentó RCE exitoso contra honeypots el 24 de octubre; The Hacker News y BleepingComputer recogen esa confirmación junto con la decisión de CISA.

Versiones corregidas (parche del 21 de octubre)

• PHP 8.5: actualiza a 8.5.12.
• PHP 8.4: actualiza a 8.4.27.
• PHP 8.3: actualiza a 8.3.36.
• PHP 8.2: actualiza a 8.2.35.

CISA y la PHP Foundation indican que están en riesgo las instalaciones que atienden peticiones web, incluidas Apache con mod_php (mayor riesgo según PHP), PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. PHP 8.1 y anteriores ya no reciben versiones del proyecto; si no puedes migrar de inmediato, aísla el sistema o sácalo de internet hasta tener una rama con soporte y parche.

Quién está afectado en la práctica

• Sitios WordPress, Drupal, Craft CMS y otros CMS en PHP: el riesgo está en el runtime de PHP, no solo en el CMS. Actualizar el CMS o los plugins no actualiza PHP.
• Hosting compartido y paneles (cPanel, hPanel, Plesk): la versión la controla el proveedor; hay que pedir o seleccionar la corregida.
• Aplicaciones y appliances que empaquetan PHP: inventaría productos de terceros; muchos vendors ya publicaron avisos propios.
• Cualquier endpoint PHP expuesto a internet: formularios, login, health checks o APIs bastan; la exposición no depende del framework.

Qué hacer hoy (checklist para admins)

1. Inventaría PHP: lista servidores, contenedores, hosting y software que lo traiga incluido. Prioriza lo expuesto a internet.
2. Comprueba la versión real del sitio: en CLI, php -v puede diferir de la del vhost. En WordPress usa Herramientas → Salud del sitio → Información → Servidor.
3. Actualiza a la versión corregida de tu rama y reinicia PHP-FPM, php-cgi o el servidor web para que tome el binario nuevo.
4. Pregunta a tu hosting si el plan ya corre 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (o un backport equivalente documentado por el proveedor).
5. Revisa indicios de compromiso: errores fatales por límite de memoria (“Allowed memory size… exhausted”) en el log del servidor web desde mediados de octubre; procesos PHP que lancen shells o descarguen archivos; archivos nuevos en la carpeta web, cron y cuentas nuevas.
6. Si no puedes parchear ya: CISA recomienda considerar sacar de línea los sistemas PHP basados en versiones sin parche. Un WAF puede reducir exposición temporal, pero no sustituye el parche.
7. Después de parchear: verifica la versión en producción y confirma que los workers se reiniciaron. Parchear cierra la puerta; no borra lo que un atacante haya dejado adentro.

Si necesitas el detalle de comandos por sistema, vuelve a nuestra guía del 21 de octubre: PHP2Shell ya se está explotando: actualiza PHP hoy y Cómo actualizar PHP por PHP2Shell.

Mitigaciones temporales (solo mientras actualizas)

PHP es claro: solo la actualización es una solución completa. Medidas parciales reportadas por PHP y CISA:

• Para rutas de sesión de CVE-2026-109619: session.upload_progress.enabled=0 en la configuración del servidor o del pool (no con ini_set() ni .user.ini), y reiniciar procesos.
• Para aspectos de CVE-2026-109618: fijar memory_limit=-1 de forma que la app no lo cambie (p. ej. php_admin_value), mantener post_max_size bajo y limitar el tamaño de petición en el proxy o el servidor web.
• Un WAF (p. ej. reglas gestionadas mencionadas por AWS para multipart) ayuda en la ventana de parcheo; no es el remedio final.

Por qué importa para pymes, ISP y partners en Colombia

PHP sigue detrás de una gran parte de sitios, tiendas e intranets. En hosting compartido y en servidores “que nadie toca”, las versiones viejas son frecuentes. Con la entrada al KEV, la urgencia deja de ser solo técnica: es una señal oficial de que hay explotación conocida y de que hay que remediar con prioridad. Para ISP y partners que administran muchos sitios de clientes, el inventario y el parcheo coordinado son el control que más reduce riesgo esta semana.

Cómo te ayuda NESS

NESS Unified IT Defense reúne inventario de activos, gestión de vulnerabilidades, parches y monitoreo en una sola consola, junto con NESS Endpoint Protection (motor antimalware propio; el agente usa menos de 100 MB de RAM). Así sabes qué servidores tienes, qué versiones corren y si un proceso empieza a comportarse de forma rara. Todo se licencia con NESS Enterprise.

Preguntas frecuentes

¿CISA confirmó explotación de PHP2Shell?

Sí. El 26 de octubre de 2026 agregó CVE-2026-109618 y CVE-2026-109619 al catálogo KEV y actualizó su alerta de PHP.

¿Cuál es el CVSS?

9,2 (crítica), según The Hacker News y AWS Security sobre PHP2Shell.

¿Qué versiones de PHP debo instalar?

8.5.12, 8.4.27, 8.3.36 u 8.2.35, publicadas el 21 de octubre de 2026.

¿Hasta cuándo tienen plazo las agencias federales de EE.UU.?

Según The Hacker News y BleepingComputer, antes del 29 de octubre de 2026, en el marco de BOD 26-04. CISA anima a todas las organizaciones a priorizar el KEV.

¿Actualizar WordPress me protege?

No. WordPress y PHP se actualizan por separado. Revisa la versión de PHP en Salud del sitio o en el panel de hosting.

¿Un WAF alcanza?

No. Puede reducir exposición mientras parcheas; la solución completa es actualizar PHP y reiniciar los workers.

Actualiza PHP hoy

Agenda una demo de NESS y mantén inventario, parcheo y monitoreo desde una sola consola.

Fuentes

• CISA, Adds Two Known Exploited Vulnerabilities to Catalog (26 oct 2026)
• CISA, Critical Vulnerabilities in PHP Require Immediate Patching (actualizada 26 oct 2026)
• The Hacker News, CISA Confirms Active Exploitation of Two PHP2Shell Flaws (27 oct 2026)
• BleepingComputer, CISA confirms PHP2Shell vulnerabilities now exploited in attacks (27 oct 2026)
• PHP.net — security releases 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (21 oct 2026)
• PHP advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• PHP advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• AWS Security Blog, mitigations for PHP2Shell (CVE-2026-109618 / 109619)