PHP2Shell: todo lo que necesita saber sobre la vulnerabilidad crítica de PHP | | BAFING CyberSOC alertó preventivamente a sus clientes el miércoles último. Aquí compartimos los puntos esenciales para toda la comunidad de TI. | | |
La vulnerabilidad conocida como PHP2Shell ha generado especial atención por su criticidad y por el potencial de ejecución remota de código en entornos expuestos. El SOC de BAFING emitió una alerta preventiva a sus clientes el miércoles 21 de octubre, priorizando la identificación de sistemas afectados y la aplicación de medidas de mitigación.
Ante este escenario, distintas organizaciones a nivel mundial han optado por aislar o deshabilitar temporalmente portales y servicios basados en PHP mientras completan el parchado, reduciendo así la ventana de exposición ante posibles ataques.
En esta edición resumimos los principales aspectos que los equipos de TI y ciberseguridad deben conocer: alcance, riesgo, versiones comprometidas y acciones recomendadas.
| | |
1. ¿Qué es PHP2Shell y por qué es relevante?
PHP2Shell es el nombre utilizado para agrupar dos vulnerabilidades críticas del motor de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas pueden permitir que un atacante remoto sin autenticación ejecute código arbitrario en un sistema vulnerable que procese solicitudes web.
Su gravedad no radica únicamente en la posibilidad de explotar una aplicación específica, sino en que las fallas se encuentran en el propio runtime de PHP. Por ello, la exposición puede extenderse a diferentes aplicaciones, frameworks y plataformas que utilizan esta tecnología, independientemente de que estén desarrolladas internamente o hayan sido adquiridas a terceros.
El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para las ramas 8.2, 8.3, 8.4 y 8.5. El equipo de PHP recomendó actualizar de inmediato y advirtió que las instalaciones que procesan solicitudes web están expuestas al riesgo.
2. ¿Qué tan crítica es la exposición?
Ambas vulnerabilidades tienen una puntuación CVSS v4.0 de 9.2, dentro de la categoría crítica. Según los avisos técnicos publicados, la explotación remota puede realizarse sin autenticación previa y, en determinadas configuraciones, antes de que se ejecute el código de la aplicación.
El alcance del impacto dependerá de los privilegios con los que se ejecuta el proceso de PHP y de los recursos accesibles desde ese entorno. Un compromiso podría permitir al atacante:
- Ejecutar comandos o código arbitrario con los privilegios del proceso vulnerable.
- Acceder a archivos de configuración, credenciales, tokens, claves de API u otros secretos disponibles para la aplicación.
- Alterar archivos y componentes de la aplicación web.
- Utilizar el servidor comprometido como punto de apoyo para nuevas actividades maliciosas dentro de la infraestructura.
El riesgo requiere especial atención en servidores expuestos directamente a Internet, aplicaciones de negocio críticas y entornos que ejecutan PHP con privilegios excesivos. No todas las instalaciones tienen idénticas condiciones de explotación, pero la ausencia de autenticación como requisito y la amplitud de su despliegue justifican una evaluación prioritaria.
| | | |
3. Sistemas y versiones afectadas
La exposición no se limita a una plataforma o aplicación determinada. Los avisos técnicos identifican como potencialmente afectados los siguientes modelos de ejecución de PHP:
- PHP-FPM: procesos trabajadores que atienden solicitudes web.
- Apache con mod_php: integración de PHP como módulo del servidor web, señalada por el proyecto PHP como una configuración de mayor riesgo.
- php-cgi: ejecución de PHP mediante la interfaz CGI.
- FrankenPHP y LiteSpeed: otros entornos de ejecución que procesan solicitudes web mediante PHP.
Las aplicaciones basadas en gestores de contenidos como WordPress, Drupal y Joomla también deben evaluarse cuando utilizan una instalación vulnerable del runtime. La actualización de la aplicación por sí sola no corrige necesariamente el problema si PHP continúa ejecutándose en una versión afectada.
| | | Rama de PHP | Versiones vulnerables | Primera versión corregida | | PHP 8.2 | Anteriores a 8.2.35 | 8.2.35 | | PHP 8.3 | Anteriores a 8.3.36 | 8.3.36 | | PHP 8.4 | Anteriores a 8.4.27 | 8.4.27 | | PHP 8.5 | Anteriores a 8.5.12 | 8.5.12 | | | |
Las ramas PHP 8.1 y anteriores requieren una evaluación adicional, ya que varias han alcanzado el fin de soporte del proyecto. PHP publicó correcciones de código fuente para algunas ramas antiguas, mientras que determinados proveedores de sistemas operativos y soporte extendido pueden ofrecer paquetes corregidos. Es necesario verificar el estado específico con el proveedor correspondiente; no debe asumirse que una versión antigua está protegida solo porque el número de versión no haya cambiado.
| | |
4. Estado de explotación y evolución de la amenaza
La divulgación pública de detalles técnicos y la circulación de pruebas de concepto (Proof of Concept, PoC) aumentan el riesgo de que otros actores desarrollen o adapten mecanismos de explotación. CERT-EU advirtió sobre este escenario al recomendar la aplicación inmediata de las actualizaciones y, cuando no sea posible corregir de inmediato, considerar el aislamiento de las aplicaciones expuestas a Internet.
Además, algunos reportes de seguridad han señalado actividad de explotación o intentos contra sistemas vulnerables. Estos reportes deben interpretarse según el alcance y el periodo de observación de cada organización; no demuestran que todas las instalaciones estén comprometidas, pero sí refuerzan la necesidad de buscar indicadores de actividad sospechosa.
Actualización importante al cierre de esta edición: el 23 de octubre, el proyecto PHP publicó una advertencia adicional sobre CVE-2026-115560, otra vulnerabilidad de ejecución remota de código que requiere una combinación poco habitual de configuración y comportamiento de la aplicación. No forma parte de las dos fallas que reciben el nombre PHP2Shell en los avisos iniciales, pero debe considerarse durante la evaluación de riesgo. PHP recomienda deshabilitar temporalmente session.upload_progress hasta la siguiente actualización correctiva para cubrir este escenario específico.
5. Estado de explotación y evolución de la amenaza
La respuesta debe comenzar con un inventario fiable de las instalaciones de PHP, seguido de la actualización y la verificación de los servicios afectados.
- Identificar activos vulnerables: Inventariar las instalaciones de PHP en servidores, contenedores, aplicaciones y servicios de hosting, priorizando los expuestos a Internet.
- Aplicar actualizaciones: Instalar las versiones corregidas o los parches del proveedor y verificar que los procesos estén ejecutando la versión segura.
- Reducir la exposición: Restringir temporalmente el acceso a servicios vulnerables cuando no sea posible actualizarlos de inmediato, siguiendo las recomendaciones del proveedor.
- Investigar posibles compromisos: Analizar registros web, errores de PHP, alertas EDR y procesos inusuales que puedan indicar intentos de explotación.
- Proteger credenciales: Ante indicios de compromiso, evaluar la exposición de secretos y rotar las credenciales, tokens y claves potencialmente afectados.
- Revisar aplicaciones de terceros: Coordinar con proveedores de hosting y fabricantes para confirmar la disponibilidad y aplicación de las correcciones.
- Mantener seguimiento: Consultar los avisos oficiales y actualizar los mecanismos de detección ante nuevas pruebas de concepto o vulnerabilidades relacionadas.
| | |
6. Conclusiones
PHP2Shell evidencia cómo una vulnerabilidad en un componente de uso extendido puede generar exposición transversal en organizaciones con arquitecturas web diversas. Las fallas afectan al motor de PHP y no a un único producto de aplicación, por lo que la evaluación debe abarcar servidores, contenedores, plataformas administradas y dependencias integradas.
La prioridad es identificar las instalaciones vulnerables, aplicar las versiones corregidas y verificar que los procesos en ejecución hayan adoptado la actualización. Cuando existan limitaciones operativas, deben implementarse mitigaciones específicas y reducirse temporalmente la exposición, sin considerarlas una solución definitiva.
Para los responsables de TI, la gestión de este incidente debe abordarse como un riesgo operativo y de negocio: una vulnerabilidad explotable en un servicio público puede comprometer datos, continuidad y confianza. La combinación de inventario actualizado, remediación priorizada, monitoreo y coordinación con proveedores resulta esencial para reducir la ventana de exposición.
BAFING CyberSOC continuará promoviendo la identificación temprana de riesgos y la adopción oportuna de medidas de seguridad para fortalecer la protección de los entornos tecnológicos corporativos.
| | Campaña abusa de credenciales de ConnectWise para acceder a entornos Microsoft 365 | | |
1. Antecedentes:
Se identificó una campaña de acceso no autorizado que aprovechó credenciales comprometidas de ConnectWise Cloud Backup, anteriormente conocido como SkyKick, para acceder a múltiples entornos de Microsoft 365. La actividad afectó a distintos inquilinos (tenants) y motivó a ConnectWise a deshabilitar el acceso a la aplicación, interrumpiendo temporalmente los servicios de respaldo. El incidente evidencia el riesgo asociado al compromiso de credenciales de aplicaciones con permisos sobre servicios corporativos en la nube, así como la posibilidad de que estas se utilicen para acceder a información alojada en plataformas SaaS.
| | |
2. Detalles del ataque:
a. Vector de compromiso
- Abuso de credenciales comprometidas asociadas a ConnectWise Cloud Backup.
- Acceso no autorizado a múltiples tenants de Microsoft 365 mediante la aplicación afectada.
- Interrupción temporal de las operaciones de respaldo tras la deshabilitación del acceso por parte del proveedor.
b. Impacto potencial
- Exposición de información corporativa almacenada en servicios de Microsoft 365.
- Riesgo para la confidencialidad de correos electrónicos y archivos empresariales.
- Posible afectación de la continuidad operativa y de los procesos de recuperación de información debido a la interrupción de los respaldos.
c. Indicadores de Compromiso (IoC):
IP:
| | | |
3. Productos afectados:
- Microsoft 365: Exchange Online (buzones de correo), OneDrive, SharePoint y Microsoft Teams.
4. Recomendaciones:
- Bloquear la IP 45[.]142[.]193[.]132 en los controles perimetrales y de seguridad disponibles, y buscar conexiones históricas relacionadas.
- Deshabilitar temporalmente las aplicaciones empresariales o principales de servicio sospechosos en Microsoft Entra ID, evitando eliminarlos inicialmente para preservar evidencia.
- Revisar los registros de inicio de sesión de principales de servicio, consentimientos OAuth, permisos concedidos y accesos anómalos entre tenants.
- Identificar las cuentas y aplicaciones que utilizaron ConnectWise Cloud Backup y evaluar el alcance de sus permisos sobre Microsoft 365.
- Revocar credenciales, secretos o tokens comprometidos y rotar las credenciales asociadas, según corresponda.
- Validar la integridad y disponibilidad de los respaldos antes de restablecer las operaciones, y reforzar la supervisión de aplicaciones de terceros.
| | CVE-2026-103091 expone Google Agent Mesh a acceso no autorizado y control del backend | | |
1. Antecedentes:
Se reportó una vulnerabilidad crítica en Google OSS Agent Mesh (SAM) que combina fallas de autorización insuficiente (CWE-862) e inicialización insegura por defecto (CWE-1188). La deficiencia en el registro mediante OIDC y el proxy MCP podría permitir que un atacante remoto se registre en la malla y obtenga privilegios elevados sobre los servicios conectados. La causa principal es una política de acceso predeterminada demasiado permisiva, junto con validaciones insuficientes de identidad. La explotación no requiere privilegios previos ni interacción del usuario y registra una puntuación CVSS v4.0 de 9.3 (Crítica).
| | |
2. Detalles del ataque:
a. Vector de explotación
- El endpoint GET /info expone la configuración de OpenID Connect (OIDC), que puede utilizarse durante el proceso de registro.
- El endpoint POST /register permite el autorregistro de nodos sin validar adecuadamente atributos como correo, dominio o grupo, ni comprobar listas de bloqueo.
- Tras el registro, la política predeterminada asigna el rol sam:system:authenticated a servicios y objetivos comodín (*), habilitando permisos excesivos.
- Esta combinación podría permitir operaciones de lectura, escritura y ejecución sobre nodos de backend conectados mediante el protocolo MCP.
b. Impacto potencial
- Acceso no autorizado a servicios e infraestructura de backend.
- Exposición o extracción de información y ejecución arbitraria de comandos dentro del alcance de los permisos concedidos.
- Compromiso de múltiples componentes conectados a la malla de agentes.
c. Identificación
- CVE: CVE-2026-103091
- CWE: CWE-862 — Missing Authorization; CWE-1188 — Insecure Default Initialization.
- CVSS v4.0: 9.3 — Crítica.
- Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
| | | |
3. Productos afectados:
- Google OSS Agent Mesh (SAM): repositorio github.com/google/sam, versiones desde 0.1.0-alpha.1 hasta anteriores a 0.1.0-alpha.9.
| | |
4. Recomendaciones:
- Actualizar Google OSS Agent Mesh a la versión v0.1.0-alpha.9 o posterior, que incorpora controles de autorización y una política predeterminada de denegación.
- Mientras se completa la actualización, restringir mediante controles de red el acceso a los endpoints del plano de control expuestos.
- Revisar las políticas de autorización y eliminar asignaciones de privilegios globales o comodines que no sean estrictamente necesarias.
- Auditar los nodos registrados, las identidades asociadas y los permisos efectivos para detectar registros no autorizados.
- Investigar los registros de acceso a GET /info y POST /register, así como posibles operaciones anómalas de lectura, escritura o ejecución.
- Tras la actualización, validar que el registro exija vinculaciones explícitas de políticas y que se apliquen las comprobaciones de identidad y bloqueo correspondientes.
| | Storm-2945 distribuye malware para robar tokens de Microsoft 365 y mantener acceso remoto | | |
1. Antecedentes:
Se identificó una campaña de compromiso mediante descargas maliciosas atribuida por Microsoft al clúster Storm-2945, asociado a Midnight Blizzard. La actividad se dirige a sistemas Windows mediante archivos de acceso directo y scripts de PowerShell que descargan y ejecutan componentes maliciosos. Entre ellos se encuentran ChocoShell y CornFlake, utilizados para recopilar información del navegador, sustraer tokens de Microsoft 365 y acceder a datos de Microsoft Teams. La infraestructura vinculada a la campaña continúa distribuyendo archivos maliciosos, lo que mantiene el riesgo de compromiso y acceso remoto no autorizado en entornos corporativos.
| | |
2. Detalles del ataque:
a. Cadena de infección
- Uso de archivos de acceso directo de Windows para iniciar la ejecución de scripts de PowerShell.
- Descarga y ejecución de componentes maliciosos desde infraestructura controlada por los atacantes.
- Despliegue de ChocoShell y CornFlake para realizar actividades posteriores al compromiso.
b. Capacidades e impacto
- Recopilación de información almacenada en navegadores.
- Robo de tokens de autenticación de Microsoft 365 y acceso a información de Microsoft Teams.
- Mantenimiento de acceso remoto a los equipos afectados, con riesgo de exposición de datos corporativos y abuso de sesiones autenticadas.
c. Indicadores de Compromiso (IoC):
Hash:
- MD5:c6f4df18cb880500f3921a179c3a3766
SHA-1:937e75e0e1c82eecab69e9b8ad481bd7e0845308
SHA-256: be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c
| | | |
3. Productos afectados:
- Sistemas operativos Windows.
| | |
4. Recomendaciones:
- Incorporar los hashes identificados a las herramientas EDR, antivirus y demás controles de seguridad para detectar y bloquear archivos coincidentes.
- Revisar eventos de ejecución de archivos .lnk y procesos de PowerShell que descarguen o ejecuten contenido desde ubicaciones no confiables.
- Investigar los equipos con coincidencias de IoC y aislarlos de la red cuando existan indicios de compromiso.
- Revocar sesiones activas y renovar credenciales o tokens potencialmente comprometidos, priorizando las cuentas de Microsoft 365 afectadas.
- Analizar los registros de autenticación de Microsoft 365 y la actividad de Microsoft Teams en busca de accesos o acciones anómalas.
- Ejecutar actividades de threat hunting para identificar persistencia, componentes secundarios y otros equipos afectados por la campaña.
| | CVE-2026-112407 permite escalar privilegios en pipelines CI/CD de AWS | | |
1. Antecedentes:
Se identificó una vulnerabilidad de asignación incorrecta de privilegios en AWS CICD-toolchain-for-serverless-applications, relacionada con permisos excesivos en políticas de AWS IAM. Un usuario autenticado con acceso de escritura (push) al repositorio de código podría aprovechar el proceso de despliegue de plantillas para elevar sus privilegios. La explotación podría permitir el acceso o la modificación de recursos de AWS ajenos al stack de la aplicación, pero pertenecientes a la misma cuenta. Este escenario incrementa el riesgo de cambios no autorizados en la infraestructura y compromete el aislamiento de privilegios dentro de los procesos CI/CD. La vulnerabilidad está clasificada con severidad alta.
| | |
2. Detalles del ataque:
a. Vector de explotación
- El abuso se produce durante el despliegue de plantillas de aplicaciones mediante el pipeline del toolchain.
- La política IAM asigna permisos inadecuados que pueden facilitar la escalada de privilegios a usuarios con acceso de escritura al repositorio.
- El alcance potencial incluye recursos de la misma cuenta AWS que no forman parte del stack desplegado originalmente.
b. Impacto potencial
- Acceso no autorizado a recursos de AWS.
- Modificación de configuraciones o componentes de infraestructura fuera del alcance previsto de la aplicación.
- Riesgo para la integridad y seguridad de los entornos de desarrollo, integración y despliegue continuo.
c. Impacto potencial
- CVE: CVE-2026-112407
- Tipo: Asignación incorrecta de privilegios.
- Severidad: Alta.
| | | |
3. Productos afectados:
- AWS CICD-toolchain-for-serverless-applications: versiones 1.0.7 a 1.0.10.
| | |
4. Recomendaciones:
- Actualizar el componente a la versión 1.0.11 o posterior, según la corrección publicada por el proveedor.
- Restringir el acceso de escritura a los repositorios de código y revisar los permisos de los colaboradores y cuentas de servicio.
- Aplicar el principio de mínimo privilegio en las políticas IAM utilizadas por los pipelines de CI/CD.
- Revisar los registros de AWS CloudTrail para identificar cambios inusuales en políticas IAM, recursos y permisos durante los despliegues.
- Validar que los roles de ejecución del pipeline no permitan modificar recursos ajenos al stack autorizado.
- Confirmar la versión instalada y auditar los despliegues realizados con las versiones vulnerables para detectar posibles alteraciones no autorizadas.
| | CVE-2026-110264 expone GitLab CE/EE a ejecución remota de código | | |
1. Antecedentes:
Se identificó una vulnerabilidad crítica de desbordamiento de enteros (CWE-190) en GitLab Community Edition (CE) y Enterprise Edition (EE), asociada al procesamiento de expresiones regulares especialmente diseñadas. Bajo determinadas condiciones, un atacante remoto sin autenticación podría explotar esta falla para ejecutar código arbitrario en el servidor afectado. La explotación podría comprometer la confidencialidad, integridad y disponibilidad de la instancia, así como los repositorios y servicios alojados en ella. La vulnerabilidad registra una puntuación CVSS de 10.0, correspondiente a severidad crítica, y fue reportada mediante el programa de recompensas de HackerOne.
| | |
2. Detalles:
a. Mecanismo de explotación
- La falla se origina en el manejo de operaciones numéricas durante el procesamiento de expresiones regulares manipuladas.
- Un atacante remoto podría enviar entradas diseñadas para desencadenar el desbordamiento y provocar condiciones que permitan la ejecución de código.
- La ausencia de requisitos de autenticación incrementa la exposición de las instancias accesibles desde redes no confiables.
b. Impacto potencial
- Ejecución de código no autorizado en el servidor GitLab.
- Compromiso de repositorios, datos de proyectos y otros recursos accesibles desde la instancia.
- Posible afectación de la disponibilidad del servicio y de la integridad de los entornos de desarrollo y despliegue.
c. Identificación
- CVE: CVE-2026-110264
- CWE: CWE-190 — Integer Overflow.
- CVSS: 10.0 — Crítica.
- Investigador: joaxcar, mediante HackerOne.
| | | |
3. Productos afectados:
GitLab Community Edition (CE) y Enterprise Edition (EE):
- Desde la versión 7.0 hasta versiones anteriores a 18.11.13.
- Rama 19.0: versiones anteriores a 19.0.10.
- Rama 19.1: versiones anteriores a 19.1.9.
- Rama 19.2: versiones anteriores a 19.2.9.
- Rama 19.3: versiones anteriores a 19.3.6.
- Rama 19.4: versiones anteriores a 19.4.3.
- Rama 19.5: versiones anteriores a 19.5.1.
| | |
4. Recomendaciones:
- Actualizar GitLab CE/EE a la versión corregida correspondiente: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 o 19.5.1, o una posterior que incluya la corrección.
- Identificar las instancias vulnerables y priorizar la remediación de aquellas expuestas a Internet.
- Si la actualización no puede aplicarse de inmediato, restringir temporalmente el acceso a las instancias mediante controles perimetrales y listas de acceso.
- Revisar los registros de GitLab y del sistema en busca de solicitudes anómalas, errores reiterados al procesar expresiones regulares y fallos inesperados.
- Investigar procesos inusuales y posibles indicios de ejecución de código no autorizado en los servidores afectados.
- Tras la actualización, validar la versión instalada y realizar una revisión de seguridad para descartar actividad sospechosa previa a la remediación.
| | |
Acerca de Bafing
Somos una empresa con más de 30 años de experiencia en el mercado de Tecnologías que ofrece soluciones muy especializadas en Ciberseguridad, eHealth y Smart Buildings.
El presente documento es una comunicación de carácter general hecha exclusivamente con propósitos informativos. Usted recibe este newsletter tras haberse suscrito al mismo. Si no desea continuar recibiéndolo, por favor escribir a bdigital@bafing.com
| | | | |
