PHP2Shell es una familia de vulnerabilidades críticas corregidas recientemente en el núcleo de PHP, con una gravedad que alcanza CVSS 9,2. Pueden permitir a atacantes no autenticados ejecutar código o exponer la memoria sensible de los procesos. PHP impulsa aproximadamente el 70% de los sitios web, incluidas plataformas como WordPress, Drupal y MediaWiki de Wikipedia.
Los investigadores de Wiz Research, entre ellos Sagi Tzadik, Shir Tamari, Nir Ohfeld y Tomer Schwartz, trabajaron con Open AI Codex Security (Amy Burnett) y otros en una divulgación responsable. Las vulnerabilidades están en el propio PHP, por lo que los sitios web pueden verse afectados incluso cuando su código de aplicación es seguro. Basta con una aplicación sencilla «Hello World» que se ejecute en una versión afectada de PHP para quedar expuesto. Los sitios que usan las últimas versiones de PHP con parches están protegidos. El equipo de PHP respondió con rapidez y colaboró estrechamente con los investigadores en soluciones completas.
Los fallos se dividen en dos clases, identificadas como CVE-2026-109618 y CVE-2026-109619. La primera implica una corrupción de memoria por agotamiento que puede permitir la ejecución de código sin autenticación como trabajador web de PHP. La segunda implica un estado global obsoleto entre solicitudes, que puede habilitar un uso tras liberación que revela la memoria del trabajador o ejecuta código. Los investigadores demostraron la ejecución remota de código previa a la autenticación contra WordPress, Drupal y Joomla usando sus últimas imágenes de contenedor en el momento de las pruebas, y mostraron una divulgación de memoria independiente de la aplicación.
Los atacantes podrían tomar el control de los servidores, acceder a datos sensibles o leer contraseñas, tokens de autenticación, claves de API y certificados de otras solicitudes. La divulgación de memoria también puede robar datos sin lograr antes la ejecución de código, lo que hace la actividad más difícil de detectar. La única solución completa es instalar una versión corregida de PHP en cada entorno de ejecución y reiniciar Apache, PHP-FPM y cualquier trabajador de PHP de larga duración. Actualizar una aplicación no actualiza el entorno de ejecución de PHP que hay debajo.
Fuente: Hacker News · Resumido por HeadlinesBriefing