PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas
El lenguaje PHP ha lanzado parches de emergencia para dos vulnerabilidades críticas que permiten la ejecución remota de código. Aunque se han detectado millones de intentos de explotación, los expertos indican que la complejidad técnica aún dificulta el éxito de los atacantes.
El 21 de octubre, PHP lanzó parches de emergencia para dos vulnerabilidades críticas identificadas como CVE-2026-109618 y CVE-2026-109619 (puntuación CVSS de 9.2), que afectan a todas las versiones de PHP que gestionan solicitudes web. El código del error se remonta a PHP 5.4 de 2012, reside en el propio motor de PHP en lugar de en cualquier aplicación, y permite la ejecución remota de código no autenticado a través de solicitudes HTTP especialmente elaboradas.
Volumen de intentos de explotación
Investigadores de Cloudflare observaron decenas de miles de intentos de explotación en los 45 minutos posteriores a la divulgación pública, cientos de miles en dos horas y millones para el 21 de octubre. Al 23 de octubre, Censys contabilizó más de 34,4 millones de servicios PHP que aún ejecutan versiones vulnerables. Gobiernos, hospitales y escuelas en Asia, Europa y América del Norte han retirado preventivamente sus servicios de línea en lugar de esperar.
Análisis de la situación actual
Las firmas de seguridad que utilizan honeypots informan del mismo patrón: los atacantes están escaneando muchos servidores e intentando explotar los fallos de PHP, pero no se ha confirmado ninguna ejecución remota de código exitosa en ataques activos. Sophos afirma que esto sugiere que los atacantes también están teniendo dificultades para explotar las vulnerabilidades. Incluso su propio equipo de seguridad necesitó más esfuerzo del esperado, a pesar de utilizar IA, para desarrollar un exploit funcional.
Sin embargo, el riesgo está creciendo. Los investigadores de VulnCheck han desarrollado un exploit que elude ASLR, una característica de seguridad que aleatoriza dónde se almacena el código en la memoria. Al combinar ambas vulnerabilidades, pueden utilizar una fuga de memoria para eludir esta protección y ejecutar código en el sistema objetivo. El exploit funciona, aunque todavía no hay pruebas de un uso generalizado.
Detección de malware y botnets
Los intentos detectados hasta ahora son principalmente de escaneo, identificación de huellas y de entrega de botnets. El análisis de Cowrai sobre el tráfico de PHP2Shell en ataques activos encontró conexiones a una variante de Mirai llamada Potassium, que se comunica con un servidor C2, verifica una respuesta HTTP 200 y luego descarga un ejecutable de Linux como carga útil posterior.
«La carga útil, una probable variante de la botnet Mirai conocida como Potassium, no fue entregada ya que el intento de explotación no tuvo éxito debido a que fue bloqueado por las contramedidas de Sophos», afirma el informe publicado por Sophos. «Sin embargo, el análisis de la muestra reveló que es una versión actualizada y significativamente ampliada de la variante de botnet derivada de Mirai identificada a principios de 2026».
El malware puede descargar archivos adicionales y desestabilizar redes. Se comunica con un servidor de comando y control (C2) codificado, verifica que el servidor responda correctamente y descarga un archivo diseñado para ejecutarse en Linux. Si la búsqueda de la dirección normal falla, puede utilizar servidores DNS públicos como Google DNS y Cloudflare DNS. Al igual que otros malwares de Mirai, también puede lanzar ataques de denegación de servicio distribuido (DDoS).
Arctic Wolf descubrió que ambas muestras de malware tenían desactivada la resolución de ENS (Ethereum Name Service), lo que significa que la función estaba disponible pero no activa.\n «La resolución de ENS estaba desactivada en ambas muestras, lo que indica que la capacidad estaba presente pero inactiva», afirma Arctic Wolf. «Si se habilitara en variantes futuras, podría complicar la interrupción al reducir la dependencia de los registradores y proveedores de DNS, requiriendo que los defensores bloqueen los nombres ENS, la infraestructura RPC y las direcciones de comando y control resueltas».
Los desarrolladores de la botnet ya han añadido la capacidad de utilizar ENS para encontrar servidores de comando y control (C2). Esto podría ayudarles a mantener su infraestructura en línea y dificultar que las autoridades derriben sus dominios, pero la función aún no se ha activado.
Sophos bloqueó el intento de entrega de Potassium antes de que tuviera éxito. Pero el análisis de la muestra en sí mostró que es una versión significativamente ampliada de la variante de Mirai detectada a principios de 2026, con capacidades de DDoS añadidas y resolución de DNS de respaldo utilizando servidores públicos como 8.8.8.8 y 1.1.1.1 codificados como respaldo.\n **Impacto y recomendaciones**
PHP2Shell está siendo comparado con Log4Shell debido a que afecta a una enorme cantidad de sistemas. El fallo está en el propio PHP, por lo que puede afectar a sitios web, sistemas de gestión de contenidos y servicios de alojamiento compartido. Incluso un sitio básico de WordPress sin complementos adicionales está en riesgo si utiliza una versión de PHP vulnerable.
Los parches están disponibles en las versiones de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones anteriores, incluidas las 7.4, 8.0 y 8.1, requieren parches proporcionados por sus distribuidores de software o una actualización a una versión compatible.\n Cisco Talos señala que el escaneo de fallos y el uso de código de explotación público es más fácil que integrar ataques en herramientas personalizadas. Los atacantes avanzados podrían estar todavía desarrollando esas herramientas, por lo que los administradores deben aprovechar este tiempo para parchear los sistemas vulnerables.\n «El verdadero impacto de esta vulnerabilidad llevará tiempo en evaluarse», concluye Talos. «Estos tipos de vulnerabilidades que impactan en tecnologías fundamentales tienden a propagarse hacia otras plataformas y aplicaciones a medida que evalúan el impacto y proporcionan los parches asociados, recordando a las oleadas de explotación que vimos después de Log4J».
El panorama general muestra que, aunque la escala de la vulnerabilidad es masiva, la complejidad técnica actual ofrece una ventana de oportunidad para que los administradores actúen antes de que los atacantes desarrollen herramientas automatizadas más sofisticadas.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario