php2shell — CVE-2026-109618 / CVE-2026-109619

Aviso crítico (CVSS v4.0: 9.2 - Crítico): El 20 de octubre, los detalles de dos fallos de ejecución remota de código (RCE) previos a la autenticación en el núcleo de PHP se filtraron en línea antes de la divulgación coordinada. La explotación permite la ejecución arbitraria de comandos directamente desde el servidor web.

---

Tabla de contenidos

• Descripción general
  • Causa raíz
  • Verificación y objetivos
• Versiones de PHP afectadas
• Panorama de amenazas y guía de detección
  • Indicadores de comportamiento y procesos hijos sospechosos
  • Recomendación de monitoreo
• Acciones para las organizaciones
• Prueba de concepto (PoC)
  • Arquitectura y etapas del exploit
  • Requisitos del objetivo
  • Uso y parámetros
  • Perfiles y offsets
• Mitigación y parcheo del código fuente
  • 1. Mitigación por configuración (medida provisional inmediata)
  • 2. Script de corrección rápida automatizado
  • 3. Parche del código fuente (session-upload-progress-counters.patch)
  • 4. Reglas personalizadas de Cloudflare WAF
  • 5. Configuración de FrankenPHP Caddyfile
  • 6. Configuración de Lighttpd
  • 7. Mitigación de Apache (ModSecurity y .htaccess)
• Descargo de responsabilidad

---

Descripción general

php2shell hace referencia a dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) que afectan a funcionalidades del núcleo de PHP. El vector principal demostrado es un use-after-free (UAF) de heap en el mecanismo de progreso de carga de sesiones del núcleo de PHP que conduce a la ejecución arbitraria de código (zend_call_function / system()).

• Gravedad: Crítica (CVSS v4.0: 9.2)
• Versiones afectadas: Los informes indican que las versiones de PHP 5, 6, 7 y 8 podrían estar afectadas. Se esperan correcciones principalmente para las ramas de PHP 8 actualmente soportadas, dejando expuestas las versiones al final de su vida útil (EOL) (PHP 5.x, 7.x, 8.0, 8.1) sin parches oficiales del proveedor.
• Seguimiento de la industria: Confirmado por investigadores de seguridad (watchTowr reprodujo CVE-2026-109618; monitoreo por Huntress y Florian Roth / process-watcher).

Causa raíz

El manejador de progreso de carga de PHP (php_session_rfc1867_callback en ext/session/session.c) almacena dos punteros de bucket zval * sin procesar (post_bytes_processed y current_file_bytes_processed) directamente en estructuras HashTable activas.

Durante el procesamiento de la solicitud:

1. Disparador: Una solicitud POST multipart estándar activa el seguimiento de progreso con los valores de configuración predeterminados (session.upload_progress.enabled = 1).
2. Liberación: Un ciclo de actualización de progreso vuelve a leer los datos de la sesión. La función zend_hash_update() destruye el árbol de datos anterior mediante el destructor zval_ptr_dtor, liberando el bloque de memoria.
3. Reclamación: La memoria del bucket liberada se reclama. El puntero colgante se redirige a estructuras zend_fcall_info y zend_internal_function manipuladas.
4. Ejecución: PHP llama a zend_call_function(), lo que resulta en la ejecución arbitraria de comandos del sistema.

Verificación y objetivos

• Confirmado en compilaciones estándar de php-src (incluidas las versiones 8.4.4 y 8.2.34).
• Utiliza offsets de símbolos (--syms) entre zval_ptr_dtor y zend_call_function para adaptarse a los diseños binarios específicos de cada distribución (p. ej., Debian Bookworm, Ubuntu Noble, Ubuntu Jammy).

---

Versiones de PHP afectadas

La siguiente tabla resume las versiones de PHP afectadas por CVE-2026-109618 y CVE-2026-109619, junto con sus estados de soporte y parcheo:

Rama de PHP	Estado	Versiones afectadas	Versión corregida / segura	Notas
PHP 8.5	Compatible (Activa)	< 8.5.12	8.5.12	Publicada versión de seguridad de emergencia
PHP 8.4	Compatible (Activa)	< 8.4.27	8.4.27	Publicada versión de seguridad de emergencia
PHP 8.3	Compatible (Activa)	< 8.3.36	8.3.36	Publicada versión de seguridad de emergencia
PHP 8.2	Compatible (Solo seguridad)	< 8.2.35	8.2.35	Publicada versión de seguridad de emergencia
PHP 8.1	Fin de vida (EOL)	Todas las versiones 8.1.x	Sin parche oficial (EOL)	Establezca session.upload_progress.enabled = Off o use ELS/backports de la distribución
PHP 8.0	Fin de vida (EOL)	Todas las versiones 8.0.x	Sin parche oficial (EOL)	El soporte oficial finalizó; la mitigación por configuración es obligatoria
PHP 7.x	Fin de vida (EOL)	Todas las versiones 7.0 - 7.4	Sin parche oficial (EOL)	La lógica central de ext/session es vulnerable; se requiere mitigación urgente o actualización
PHP 5.x	Fin de vida (EOL)	5.4.0+ (con seguimiento de progreso RFC1867)	Sin parche oficial (EOL)	El soporte oficial finalizó; aísle el host o deshabilite el progreso de carga

[!WARNING] Las versiones PHP 8.1 y anteriores de Fin de Vida (EOL) no reciben parches de seguridad oficiales de la PHP Foundation. Para estos entornos, aplique inmediatamente session.upload_progress.enabled = Off o recompile PHP desde el código fuente usando el parche de código C proporcionado.

---

Panorama de amenazas y guía de detección

La explotación de php2shell normalmente se manifiesta como procesos hijos anómalos generados directamente por procesos trabajadores de PHP (php-fpm, php-cgi, php-cgi.exe, httpd, apache2).

Indicadores de comportamiento y procesos hijos sospechosos

Supervise y genere alertas cuando procesos trabajadores de PHP ejecuten:

• Shells interactivos: /bin/sh, /bin/bash, cmd.exe, powershell.exe
• Intérpretes de scripts: python, perl
• Utilidades de red / transferencia: curl, wget, nc, certutil.exe
• Patrones comunes de reverse shell: /dev/tcp/, fsockopen, mkfifo
• Comandos de reconocimiento inmediato: whoami, id, uname -a, ipconfig

Recomendación de monitorización

Para entornos web basados en Linux sin un agente de detección de endpoint, herramientas como la gratuita process-watcher de Florian Roth pueden ejecutarse en modo de observación para señalar en tiempo real la generación inusual de procesos hijos.

---

Acciones recomendadas para las organizaciones