PHP2Shell: dos fallos críticos ponen en riesgo servidores y páginas web
Dos vulnerabilidades críticas del lenguaje de programación PHP encendieron las alertas de ciberseguridad durante octubre. Identificadas como CVE-2026-109618 y CVE-2026-109619, y conocidas en conjunto como PHP2Shell, estas fallas podrían permitir que un atacante ejecute código de forma remota en servidores vulnerables sin necesidad de autenticarse.
¿Por qué preocupa esta vulnerabilidad?
PHP es una tecnología ampliamente utilizada para desarrollar sitios web y aplicaciones. Según las alertas de seguridad publicadas el 21 de octubre, los fallos afectan al procesamiento de solicitudes y a la gestión de memoria del intérprete, lo que puede abrir la puerta a la ejecución de instrucciones maliciosas o al acceso a información sensible.
El riesgo merece especial atención en servidores expuestos a internet, incluidos aquellos que alojan aplicaciones web y plataformas de gestión de contenidos. Las autoridades y los equipos de seguridad han advertido sobre intentos de explotación, por lo que no basta con esperar a que aparezcan señales visibles de un ataque.
¿Qué deben hacer los administradores?
La principal recomendación es identificar las instalaciones de PHP afectadas y aplicar las actualizaciones oficiales. Entre las versiones corregidas anunciadas se encuentran PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas antiguas que ya no reciben soporte requieren una evaluación específica y una estrategia de actualización.
También es importante revisar los registros del servidor, comprobar las versiones utilizadas por las aplicaciones y verificar los componentes instalados mediante paneles de alojamiento. Actualizar únicamente la aplicación web no garantiza que el intérprete PHP subyacente esté protegido.
Comentarios
Publicar un comentario