PHP2Shell Security Connection: ‘Cierra tu sitio desde la alerta del FBI’

21 septiembre En octubre de 2026, el Departamento Cibernético del FBI hizo una llamada abierta a las instituciones: desconectarse si usted no puede actualizar inmediatamente. El objetivo de la advertencia fue la vulnerabilidad PHP2Shell en PHP. Datos de W3Techs Según el lenguaje del lado del servidor, alrededor del 70% de los sitios que se pueden determinar, dos abiertos críticos en este idioma permiten ejecutar código remoto sin autenticación con la puntuación de 9.2 CVSS. En este artículo, cuál es la vulnerabilidad, cómo funciona el ataque, qué versiones son seguras, y los pasos concretos que deben lanzar los gestores del sitio.

¿Qué es PHP2Shell Security Apparatus?

PHP2 Shell es el nombre común de dos vulnerabilidades separadas encontradas en el núcleo PHP: CVE-2026-109618 y CVE-2026-109619. Ambos exteriores permiten que el código remoto funcione sin autenticación. Según las transferencias de Huntress CVE-2026-109619 también puede llevar a filtrar datos en la memoria del proceso de trabajo. Open se encuentra directamente en el PHP.

El problema es peligroso, así como aquí. Abra en un plugin de WordPress o no en el propio código del sitio, está en el código de funcionamiento del motor. Basado en la transferencia de Expel PHP hizo una advertencia de que algunos caminos de abuso pueden no dejar un registro de registro predecible, lo que significa que un registro en blanco no puede probar que el servidor es seguro. Incluso si una institución ha recibido su propio código de confianza meticulosamente, puede estar expuesto a la versión de PHP a continuación.

Dos abiertamente, por el equipo de seguridad PHP, con 9.2 puntos en la escala CVSS v4.0, que es crítico. Según las transferencias de Ayuda Net Security el mayor peligro en las instalaciones usando Apache mod php. Un abuso de empleados puede desencadenar un ataque antes de una sola solicitud sin autenticación.

¿Por qué el FBI y la NSA cerraron sitios?

La instrucción más aguda fue para aquellos que no pueden actualizar. La expresión que Digit es transferida El FBI sugirió que los sistemas que no pueden ser actualizados inmediatamente hasta que fueron completamente eliminados." Cerrar el "sitio" de una institución estatal para una vulnerabilidad resume la gravedad del problema solo.

La advertencia no se limitó a una sola institución. Según las noticias de Defensa Uno NSA advirtió a las organizaciones del FBI y del CISA juntas; Datos de W3Techs Basado en el lado servidor, aproximadamente el 70% de los sitios que se pueden identificar se recordó que PHP utiliza. El dominio es muy amplio porque PHP se encuentra sobre la base de plataformas como WordPress, Drupal y Joomla.

Turquía también se movió rápidamente. Según la transferencia del periódico de Turquía La Presidencia de Seguridad Cibernética de la Presidencia puso en marcha proyecciones de seguridad en todo el país, principalmente instituciones públicas y envió notificaciones de medidas de emergencia a las instituciones pertinentes. El peso del ángulo confirmó el propio ingeniero de seguridad de la Fundación PHP. Según el traslado del Diario Volker Dusch fue galardonado con PHP2Shell en la descripción de Wall Street Journal como el problema más grave que PHP ha encontrado en más de diez años, y en 2014, se lanzó déficit cardiaco.

Esta evaluación del propio ingeniero de la fundación explica por qué el aire de pánico se propaga tan rápido. Transferencia de Newstürk basada en Bloomberg HT La fuente de vulnerabilidad es un grupo de error nacido de la forma de gestionar la memoria informática de PHP.

¿Cómo realizar el ataque técnicamente?

En el corazón del ángulo hay un trabajo que PHP alcanza el límite de memoria. Del equipo de seguridad PHP al análisis de Alexandre Daubois Cuando se supera el límite de memoria, el separador de memoria de PHP fue lanzado en la función C que quiere la memoria y lanzar directamente al funcionamiento de la solicitud. El problema es: podría publicarse un marcador sin llenar la estructura detrás de él. mod php estaba vagando una estructura que nadie completa porque llama la rutina de cierre si la solicitud no fue terminada.

La única necesidad de saldurga determina cuando el separador fallará exactamente. De acuerdo con el mismo análisis, la separación de forma multiparte ofrece varias maneras para él. Un cuerpo que no notifique la longitud esperada puede pasar el control de primer tamaño. Una pieza de forma puede llevar numerosos encabezados que consumen mucha más memoria como cubre en la red. Las áreas de archivos vacías están lanzando el límite del número de archivos y aún creando arrays topveri. Estas son las formas de frotar el separador en el momento deseado.

En el segundo período de sesiones abierto (sesión). Basado en la revisión de Upwind error se experimenta en la función de sesión después del progreso de carga multiparte. PHP almacena algunos marcadores de memoria en estructuras permanentes; esta estructura se destruye y se deja detrás de un flagg cuando una segunda sesión de solicitud se lee de nuevo. La siguiente solicitud surge cuando se basa en este puntero, el tipo sin uso posterior es un error, por lo que el código se ejecuta o la fuga de memoria.

El camino de fuga de memoria también es un riesgo por cabeza. Según los hallazgos de Wiz que Huntress transfiere, una forma separada de divulgación de memoria puede revelar contraseña, token, clave de API y certificados. Así que incluso si el código agresivo no se ejecuta, puede dañar seriamente la memoria del servidor con datos filtrados. Arreglar según Daubois toca 390 archivos, lo que muestra lo profundo que es el problema PHP.

Sólo se explicó la lógica del ataque anterior; el código de abuso de empleados o la receta de ataque paso a paso no se dio conscientemente. El objetivo es evaluar correctamente el riesgo de los administradores.

¿Cómo abrir, qué papel juega la inteligencia artificial?

Además de lo más notable, cómo se encuentra el déficit. Basado en la transferencia de Seguridad Precursor El equipo de seguridad Calif identificó la vulnerabilidad OpenAI con el modelo izquierdo GPT-5.6 dentro de la iniciativa "Patch the Planet"; Wiz informó que dos déficits son descubiertos y reportados independientemente. PHP Fundación se ha encontrado con la ayuda de modelos de inteligencia artificial de un déficit, que cuenta con el más grave de más de diez años, así como para el lado del ataque signo de una nueva era Lee.

Los ensayos de ataque comenzaron antes del anuncio. Según las mismas noticias de Help Net Security, la red MadPot Honeypot de Amazon registró un ensayo de abuso de PHP2Shell el 17 de octubre, cuatro días antes del anuncio público. Amazon piensa que es un vector de amenaza detrás del juicio, pero todavía no se sabe cómo el atacante alcanza detalles al conducir ambargo.

No estaba previsto filtrar el proceso al público. Basado en The Hacker News El 20 de octubre, las dos vulnerabilidades PHP en Hacker News fueron compartidas el 22 de octubre y PHP sacó el peatón un día. Según Huntress, el post fue eliminado, pero las capturas de pantalla fueron tan extendidas en las redes sociales en ese momento. La reclamación de fuga "CVSS 10.0" fue cubierta con los 9.2 puntos oficiales de PHP.

La cronología muestra claramente cómo un déficit cae en el público sin control. Las fuentes de la tabla son el cronograma de Daubois, Net Help Security y Huntress:

25 de septiembre

La solicitud de cambio de código para la corrección (PR) abre

17 de octubre

La red Amazon MadPot ahorra un primer juicio por abuso

20 de octubre

El post de filtración en Hacker News se elimina pero las capturas se extienden, PHP hace anuncio de parche de emergencia

21 de octubre

PHP hace anuncio oficial y publica versiones parcheadas

En este cuadro se describe cómo un proceso coordinado de divulgación de un déficit con la ayuda de la inteligencia artificial puede filtrarse sin completarse.

¿Cuál PHP Versions Trust?

El primer requisito de protección es conocer la versión segura. Según las noticias de Help Net Security, el equipo PHP publicó cuatro versiones de corrección el 21 de octubre de 2026: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Todas las versiones bajo estas versiones en cada rama se consideran vulnerables. Últimas versiones vulnerables y fechas de soporte en la tabla Home La compilación de Brandefense basada en php.net Home recibido.

Si el riesgo real se soporta en versiones terminadas. Basado en la transferencia de Mynet PHP 8.1 y versiones anteriores ya no reciben actualizaciones regulares de seguridad del proyecto PHP. Esto deja una parte extensa de Internet bajo riesgo permanente. Según el escaneo de CybelAngel Abierto a Internet 2,24 millones por ciento del servidor PHP trabaja en ramas que no llegarán a la versión oficial de fijación. El equipo de seguridad PHP, según Help Net Security, también publicó los parches mínimos a nivel de código fuente para 7.4, 8.0 y 8.1 debido al peso del déficit; estos son para aquellos que compilan PHP de origen. Algunas distribuciones y proveedores de soporte a largo plazo también pueden ofrecer parches retrospectivos, por lo que los que usan estas versiones necesitan consultar a sus proveedores.

Cómo proteger los sitios de PHP2Shell Alet?

La protección consiste en varios pasos. El punto común de las alertas oficiales es la actualización de la solución completa única.

Extract inventory: Identifique dónde trabaja PHP en su entorno antes del consejo del FBI; prioridad a los productos de terceros que incluyen sistemas abiertos a Internet y PHP.

Actualizar PHP: Cambiar a versión segura (8.5.12, 8.4.27, 8.3.36 o 8.2.35) para cada rama. La protección total según el anuncio oficial sólo se proporciona con la actualización.

Sin conexión si no puedes actualizar: La instrucción del FBI es clara; el sistema que no puede ser actualizado inmediatamente se mantiene fuera de línea hasta que se elimina por completo.

Aplicar correctamente las medidas temporales oficiales: Repetida durante la fuga según el análisis de Daubois session.upload_progress.enabled = Off La propuesta sólo cierra el camino de sesión del segundo déficit (CVE-2026-109619), no el primer déficit. Las medidas temporales recomendadas para la primera apertura memory_limit=-1 forzar el valor de las aplicaciones de una manera que no pueda cambiar. Estas medidas no guardan el lugar del parche, sólo ahorra tiempo.

Ponte detrás de la WAF: Si está usando una nube WAF como Cloudflare según el consejo de Expel, asegúrese de que sus servidores de origen sólo acepten el tráfico sobre WAF.

Buscar: Según la advertencia del FBI, los procesos PHP deben ser seguidos eventos sospechosos inesperadamente como scripting o descarga de archivos; si se ve la especificación, el sistema está aislado y los registros deben ser almacenados.

Refresca los secretos que pueden ser cortados: La forma en que Wiz muestra la revelación de memoria clave, token, API y certificados Como puede ser revelado, la regeneración de estos secretos puede ser evaluada como una medida razonable.

Un tamaño adicional para las instituciones de Turquía también es la obligación de proteger los datos. Si se detecta una violación en un sistema que procesa datos personales, la situación del artículo 12 del KVKK No 6698 se comunicará a la Junta de Protección de Datos Personales y pertinentes lo antes posible. Según el anuncio público de KVKK La decisión de la Junta de fecha 2019/10 prevé que la notificación a la Junta se realice en 72 horas desde el aprendizaje de la violación. La notificación debe hacerse lo antes posible para los afectados. Por lo tanto, PHP2Shell requiere no sólo un plan técnico, sino también un plan de intervención de eventos legales.

¿Cuánto es la excepción y el riesgo de fuga de datos?

Los recursos en esta cuestión contradicen y son fundamentales para los administradores de contradicciones. Según la compilación del Kite Negro Desde el 21 de octubre, ninguna institución reportó una violación de esto explica y explica El conocido catálogo de aperturas excepcionales de CISA el lugar quedó.

Por otro lado hay informes de tráfico de ataque. Según la transferencia de The Hacker News, Cloudflare anunció que sus clientes ven el tráfico de ataque objetivo y cambian sus cargas para superar las reglas del cortafuegos de los atacantes. Basado en la compilación de SOCRadar Aikido informó de que se había denunciado el abuso sobre el terreno, Patchstack informó de que había verificado múltiples casos de abusos activos; dos empresas no estaban publicando el detalle técnico de los ataques. watchTowr's published information El abuso activo se observó a partir del 21 de octubre en la red de puntos de miel de la compañía. Según la actualización de The Hacker News, aún no se ha informado de una brecha confirmada para un servidor específico, pero los juicios de ataque ya han comenzado. Esto no debe ser cubierto con la comodidad de "no violación", sólo una razón para hacer el parche.

¿Qué piensa la comunidad?

El debate sobre el lado desarrollador se está moviendo en dos ejes: el papel del proceso de divulgación e inteligencia artificial. Hacker News discusión Algunos usuarios encontraron cerca de dos meses de ventana entre reportar y anunciar para una apertura tan seria. Un usuario escribió que la vulnerabilidad de OpenAI con Calif fue encontrada en una coincidencia que había sido capaz de reportar como "independiente" el mismo día y preguntó cómo caminar la divulgación coordinada.

La fuga en sí es también una discusión separada. La evaluación de Daubois ofrece un marco equilibrado en este punto: el pánico se justificó sobre lo grave que es el déficit, pero en la mayoría de los detalles que dicen lo que debe hacerse. The fact that the most eradicate provisional measures are incorrectly revealed, how quickly the information that is not verified Instant. El hábito que Daubois recomienda para la próxima fuga está fuera de este curso: confianza en serio, confirmar la medida, preguntar qué camino de código está cubierto antes de cerrar un ajuste.

Preguntas frecuentes

¿ WordPress o Laravel cierra la vulnerabilidad para actualizar mi sitio?

No. No en la aplicación abierta, ejecutándola en el motor PHP. Verificación de puntos Actualizar WordPress, Magento o Drupal no apaga la vulnerabilidad solo. La solución es actualizar la versión PHP en el servidor para asegurar la versión.

¿Qué debo hacer si uso alojamiento compartido?

PHP en alojamiento compartido generalmente administra proveedor de alojamiento. Pregunte la versión segura de su proveedor (8.5.12, 8.4.27, 8.3.36 o 8.2.35). La versión PHP utilizada en muchos paneles de alojamiento puede ser vista y reemplazada por el usuario.

¿Los visitantes del sitio están bajo riesgo?

El objetivo de PHP2Shell es que los servidores ejecuten versiones afectadas; no dispositivos de usuarios finales directamente. Sin embargo, si el servidor es capturado y se filtran los datos del usuario, los visitantes indirectos también pueden verse afectados. Es por eso que el parche rápido de los administradores es importante en términos de seguridad del visitante.

¿Por qué el límite de memoria=-1 recomienda, reduce esta seguridad?

Aunque la lógica aparece inversa a primera vista es: es necesario predecir cuándo el atacante superará el límite de memoria para desencadenar la vulnerabilidad. Eliminar el límite elimina este predecible momento de fracaso. Esto es sólo una medida temporal; actualización permanente de la solución.

¿Está abierto ahora abusado activamente?

Hay juicios de ataque, aún no hay violación confirmada. Hasta el 21 de octubre, el CISA dos déficits también llamaron el catálogo Known Opens; contra él Cloudflare, Aikido, Patchstack y watchTowr reportaron tráfico de ataque o abuso activo. No se recomienda esperar a juicios de ataque.

Los modelos de inteligencia artificial son una herramienta poderosa para los defensores que ayudan al déficit PHP más grave durante más de diez años. Es una pregunta separada si la misma velocidad pasa a través de los atacantes. Cómo cambiar el catálogo de CISA y los nuevos informes de abuso en las próximas semanas mostrarán que este equilibrio será pesado a qué partido.