Vulnerabilidades PHP2Shell explotadas activamente en campañas fallidas del botnet Mirai
Los atacantes están aprovechando fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, para desplegar el malware Mirai. Ya existen parches disponibles en las principales distribuciones Linux.
Resumen
- Actores maliciosos están explotando las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619) en intentos de infectar sistemas con la variante Potasio del malware Mirai.
- Ambas vulnerabilidades tienen una puntuación CVSS de 9,2 y permiten la ejecución remota de código sin autenticación.
- Ubuntu ha lanzado actualizaciones de seguridad para múltiples versiones LTS, incluyendo desde la 14.04 hasta la 26.10.
- La explotación parece haber tenido poco éxito hasta ahora debido a su complejidad o factores ambientales.
- Las organizaciones que operan aplicaciones web basadas en PHP deben aplicar los parches de inmediato.
Actores de amenazas cibernéticas están intentando activamente explotar dos vulnerabilidades críticas en PHP identificadas como CVE-2026-109618 y CVE-2026-109619. Estos fallos, conocidos colectivamente como PHP2Shell, permiten la ejecución remota de código sin autenticación y están siendo utilizados en campañas para comprometer servidores y reclutarlos en una variante del botnet Mirai denominada Potasio. A pesar de los escaneos generalizados y múltiples intentos de explotación, los informes sugieren que los atacantes enfrentan dificultades para lograr una explotación exitosa de estas vulnerabilidades.
Los avisos de seguridad confirman que ambos errores representan un riesgo significativo, con puntuaciones CVSS de 9,2. La primera vulnerabilidad está relacionada con un manejo inadecuado de la memoria durante el procesamiento de solicitudes, mientras que la segunda involucra una gestión incorrecta de los estados internos de las solicitudes entre trabajadores reutilizados. Una explotación exitosa podría permitir el control total del sistema por parte de atacantes remotos sin necesidad de autenticación.
Detalles de las vulnerabilidades
- CVE-2026-109618 afecta a la gestión de memoria de PHP al procesar solicitudes, lo que potencialmente puede conducir a la ejecución arbitraria de código.
- CVE-2026-109619 impacta en cómo PHP maneja los estados internos de las solicitudes entre procesos trabajadores, creando una vía similar para la explotación remota.
- Ambos problemas no requieren autenticación y afectan a todas las implementaciones principales de PHP si no se aplican los parches correspondientes.
- Tienen una puntuación combinada de gravedad CVSS de 9,2, lo que indica un riesgo crítico.
Disponibilidad de parches
- Ubuntu ha publicado actualizaciones mediante USN-8948-2 que cubren versiones desde Ubuntu 14.04 LTS hasta 26.10.
- El parche anterior, USN-8948-1, resolvió el problema para Ubuntu 22.04, 24.04, 26.04 y 26.10.
- Las organizaciones que usan versiones antiguas de Ubuntu LTS deben actualizarlas para mitigar la exposición.
- Los administradores de sistemas que gestionan instalaciones de PHP fuera de repositorios estándar deberían consultar los avisos del proveedor o aplicar parches directamente desde el proyecto original.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.