CVE-2026-109618 y CVE-2026-109619: Vulnerabilidades RCE de PHP2Shell

Resumen

Dos vulnerabilidades críticas de ejecución remota de código en PHP, rastreadas como CVE-2026-109618 y CVE-2026-109619, se filtraron en línea antes de su divulgación oficial. Las fallas podrían permitir a los atacantes ejecutar comandos arbitrarios en servidores web vulnerables. Las vulnerabilidades pueden afectar varias versiones de PHP, potencialmente incluyendo ramas obsoletas y sin soporte.

Investigación

Los investigadores de watchTowr confirmaron las vulnerabilidades y reprodujeron con éxito CVE-2026-109618. Huntress también monitoreó la divulgación y evaluó la probabilidad de explotación, señalando que no se habían observado ataques en entornos de socios al momento del reporte. Sin embargo, el riesgo sigue siendo significativo debido al uso generalizado de PHP. Los investigadores se centraron en indicadores comunes de explotación, incluyendo procesos de PHP generando procesos secundarios inusuales.

Mitigación

Las organizaciones deben inventariar inmediatamente todas las implementaciones de PHP, incluidas aquellas integradas en el software de proveedores terceros. Los administradores deben estar preparados para aplicar parches de seguridad oficiales de PHP tan pronto como se liberen el 21 de octubre. Los sistemas que ejecutan versiones de PHP obsoletas que no recibirán correcciones deben ser aislados de internet o protegidos detrás de un VPN o Firewall de Aplicación Web (WAF).

Respuesta

Si se detecta actividad sospechosa, incluyendo procesos de PHP lanzando shells, intérpretes o utilidades de red, los administradores deben aislar inmediatamente el servidor afectado. Preservar los registros del servidor web y de PHP es esencial para la investigación forense. Los equipos de seguridad también deben inspeccionar la raíz web para buscar webshells recién creados, archivos no autorizados, trabajos cron sospechosos, tareas programadas o cuentas de usuario recién añadidas.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario ha explotado con éxito una vulnerabilidad en una aplicación web que ejecuta PHP-FPM. Para establecer un punto de apoyo y comenzar el reconocimiento, el atacante utiliza un script de PHP para ejecutar un comando del sistema. El objetivo del atacante es identificar el contexto del usuario actual para determinar el nivel de privilegio disponible para un movimiento lateral adicional. El atacante ejecuta whoami a través del proceso php-fpm, que debería activar la lógica de la regla de detección Imagen|termina con: ‘whoami’ lógica. Guion de Prueba de Regresión:

• Script de Prueba de Regresión:

  #!/bin/bash
  # Script de simulación para activar la regla de detección de PHP RCE.
  # Este script simula un proceso de PHP-FPM generando un comando de reconocimiento.
  
  # 1. Verifique si podemos simular el proceso padre.
  # En un entorno real, este es el demonio php-fpm.
  # Para la simulación, usaremos un subproceso para imitar el comportamiento.
  
  echo "[+] Iniciando Simulación: Activando detección PHP-FPM RCE..."
  
  # Usamos 'sudo -u www-data' para imitar al usuario web, 
  # y envolvemos la ejecución para imitar una relación de proceso secundario.
  # Nota: Para coincidir perfectamente con 'ParentImage|endswith: php-fpm', 
  # la prueba debe ejecutarse en un sistema donde php-fpm esté activo.
  
  # Imitando el comportamiento por medio de una ejecución directa si php-fpm no está en ejecución:
  # En un laboratorio real, iniciarías esto a través de una solicitud web a un archivo PHP real.
  
  # Comando para activar: whoami
  # Simulamos la relación de árbol de procesos esperada por la regla.
  # Como no podemos 'convertirnos' fácilmente en php-fpm sin un servicio real,
  # ejecutaremos el comando para asegurar la telemetría del 'secundario'.
  
  # COMANDO DE PRUEBA REAL (Requiere que php-fpm esté en ejecución):
  # php-fpm-cli-simulated-trigger
  # Para los fines de este script, ejecutamos el binario señalado:
  whoami
  
  echo "[+] Comando de simulación ejecutado. Verifique SIEM para 'whoami' activado por PHP."

• Comandos de Limpieza:

  # No se crearon archivos persistentes con esta simulación.
  # Limpiar el historial de shell para eliminar rastros de la simulación.
  history -c
  echo "[+] Limpieza completa."