Qué dice
- El 21 de octubre de 2026, Calif.io, Wiz, OpenAI y Quarkslab revelaron dos vulnerabilidades del intérprete PHP, CVE-2026-109618 y CVE-2026-109619, bautizadas «php2shell». Afectan a todos los servidores web con PHP 5.4 o posterior.
- Las dos nacen de cómo PHP gestiona la memoria cuando una petición HTTP se interrumpe a medias, por quedarse sin memoria o por un error fatal. Una petición manipulada puede tumbar el proceso, exponer datos o ejecutar código del atacante.
- Los detalles se filtraron antes de la fecha de publicación prevista, y Cloudflare dice haber visto tráfico de ataque contra sus clientes, con variantes pensadas para esquivar sus reglas.
- Como el fallo está en el propio PHP, actualizar la web o sus plugins no lo corrige: hay que actualizar PHP, o pedírselo al proveedor de alojamiento. Restringir las subidas y su tamaño reduce la exposición, pero no sustituye al parche.
- Cloudflare activó por defecto reglas de su cortafuegos de aplicaciones web (WAF) en todos sus planes, también el gratuito, desde las 3:02 UTC del 21 de octubre.
- Actualización del 23 de octubre: el proyecto PHP publicó un aviso sobre un fallo relacionado, CVE-2026-115560, en la función de progreso de subida de sesión. Afecta también a versiones ya parcheadas, como la 8.5.12, y se corregirá en la próxima versión ordinaria.
The Tech Guardian resume y comenta con sus propias palabras publicaciones de terceros. La información completa es de la fuente original, que te recomendamos leer.