La cadena de explotación php2shell asistida por IA golpea el runtime de PHP y fuerza una defensa coordinada en el 70% de la web

Dos vulnerabilidades críticas en el runtime central de PHP—presentes durante más de una década pero solo ahora demostradas como explotables con ayuda de modelos de IA de frontera—fueron divulgadas públicamente el 21 de octubre de 2026 por Calif.io, Wiz, OpenAI y Quarkslab. Registradas como CVE-2026-109618 y CVE-2026-109619 y denominadas colectivamente php2shell, tienen una puntuación CVSS v4.0 de 9.2 y afectan a todas las versiones de PHP desde la 5.4 en adelante; PHP publicó un parche el mismo día. Los fallos permiten ejecución remota de código sin autenticación, divulgación de memoria, denegación de servicio y exposición de datos cuando un servidor procesa solicitudes HTTP especialmente diseñadas. Como los fallos residen en el propio runtime de PHP y no en ninguna aplicación o plugin, ponen en riesgo plataformas como WordPress, Joomla, Drupal y Magento. Wiz Research indicó que los errores de seguridad de memoria existían desde hacía décadas, pero que demostrar su explotabilidad requería una cadena de pasos excepcionalmente compleja, en el límite de lo que los investigadores humanos podían lograr; los modelos de IA de frontera redujeron sustancialmente esa barrera. Cloudflare, en colaboración con la PHP Foundation, OpenAI y Wiz, había estado desarrollando protecciones WAF desde principios de octubre de 2026 y las activó por defecto para todos los clientes de WAF gratuitos y de pago a las 3:02 UTC del 21 de octubre, unas nueve horas antes de la divulgación pública. El CTO de Cloudflare, Dane Knecht, dijo que ya se veían ataques tempranos y que las reglas WAF estándar basadas en solicitudes eran insuficientes; las protecciones php2shell son las primeras detecciones gestionadas que utilizan detección completa de transacciones, combinando señales de solicitud y respuesta. PHP publicó su actualización de seguridad a las 14:00 UTC del 21 de octubre, y los administradores deben actualizar el propio runtime de PHP: actualizar solo el código del sitio web o un plugin no remedia el fallo.

(Fuente：Vector Wire)