PHP
3 artículos con esta etiqueta
Qué comprobar tras una actualización urgente de PHP: PHP web frente a PHP de línea de comandos, set -e y códigos de salida de diff, y una revisión de intrusión
Durante la respuesta de octubre de 2026 a las vulnerabilidades críticas de PHP, un sitio que gestiona el operador de este sitio había actualizado el PHP web, pero el PHP de línea de comandos que usaba cron seguía apuntando a una versión antigua. Compruebe por separado el web y la CLI. Con set -e, diff y grep devuelven el estado de salida 1 para «diferencias encontradas» o «sin coincidencias», lo que detiene el script; gestione por separado los códigos 0, 1 y 2. Tras el parche, ejecute la misma lista de revisión de intrusión en todos los servidores, y resuelva una entrada de registro sospechosa comparando los archivos activos con la copia desplegada de referencia.
Fragnesia del kernel de Linux (CVE-2026-46300): CISA la incluye como explotada con plazo al 31 de octubre; actualice PHP y el kernel, y reinicie
CVE-2026-46300, apodada Fragnesia, es una falla del kernel de Linux que permite a un usuario local con pocos privilegios obtener root (CVSS v3.1 7.8, vector de ataque local). Cuando el kernel mueve fragmentos de datos entre búferes de red, puede perder una marca que indica que los datos se comparten con un archivo en memoria, y el código IPsec ESP puede entonces descifrar sobre la copia en caché de un archivo de solo lectura. El proyecto del kernel publicó el CVE el 23 de mayo de 2026, y las correcciones están en los kernels 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 y 7.0.10 y posteriores. El 28 de octubre de 2026 (hora de EE. UU.), CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV) por pruebas de explotación activa, con fecha límite del 31 de octubre para las agencias federales de EE. UU. La descripción de CISA dice que puede encadenarse con las fallas de PHP CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root. Una empresa de seguridad informó de que esta cadena se usó contra 25 servidores (sobre todo cortafuegos), y SecurityWeek repitió el informe; este sitio no ha verificado las cifras de forma independiente. Ubuntu, Red Hat y Debian han publicado kernels corregidos, y una actualización del kernel solo surte efecto tras reiniciar. Conclusión de este sitio: si ejecuta sitios PHP en Linux, actualice PHP y el kernel, reinicie y busque webshells.
[Última hora] Los fallos de PHP CVE-2026-109618 y CVE-2026-109619 ya se están explotando y CISA los añade a su catálogo KEV: actualice ya a 8.5.12, 8.4.27, 8.3.36 u 8.2.35
El 21 de octubre de 2026, el equipo de seguridad de PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código (RCE) sin autenticación, e instó a todos los usuarios a actualizar de inmediato. CVE-2026-109618 se relaciona con la gestión de memoria agotada y CVE-2026-109619 con un estado interno obsoleto que sobrevive entre peticiones; ambas tienen una puntuación de 9,2 según CVSS v4.0. Todas las instalaciones de PHP que atienden peticiones web están en riesgo (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). El equipo considera que mod_php es el de mayor riesgo, citando un exploit demostrado en el que una petición sin autenticar activa el ataque antes de que se ejecute cualquier código de la aplicación. PHP 8.1 y versiones anteriores no reciben actualización oficial; el equipo proporcionó backports mínimos del código fuente para 7.4, 8.0 y 8.1. Las distribuciones Linux recibieron los parches con antelación. No existe una mitigación completa; actualizar es la única opción segura. El 22 de octubre, IPA y JPCERT/CC de Japón emitieron alertas y JVN publicó JVNVU#99905564. CISA, que no había observado explotación cuando publicó por primera vez su alerta, añadió ambos fallos a su catálogo Known Exploited Vulnerabilities (KEV) el 26 de octubre, con un plazo hasta el 29 de octubre para las agencias civiles federales de EE. UU. Según informes de medios, los honeypots de un investigador de seguridad con PHP 8.4.26 sin parchear bajo mod_php registraron una ejecución remota de código exitosa el 24 de octubre. Los honeypots de un importante proveedor de nube ya habían registrado intentos de explotación desde el 17 de octubre, cuatro días antes de la divulgación. Hasta donde este sitio ha podido comprobar, a fecha del 27 de octubre no se había hecho pública ninguna intrusión fuera de honeypots. La mayoría de los principales proveedores japoneses de hosting compartido han anunciado que la corrección está aplicada, pero algunos, como KAGOYA, no. El 23 de octubre, el equipo de PHP divulgó una tercera incidencia (CVE-2026-115560) que las versiones del 21 de octubre no corrigen. Solo puede llevar a la ejecución de código con una combinación específica de configuración y código de aplicación; el equipo la considera improbable en la práctica, incluirá la corrección y un aviso completo en la próxima versión regular y recomienda establecer session.upload_progress.enabled=0 hasta entonces. No se han publicado las versiones afectadas ni una puntuación CVSS, y no se ha informado de explotación. A fecha del 29 de octubre (comprobado en php.net) no había ninguna versión que corrigiera esta incidencia. El 28 de octubre, CISA añadió también a KEV el fallo del kernel de Linux CVE-2026-46300 (plazo el 31 de octubre para las agencias federales de EE. UU.) y dijo que puede encadenarse con estos dos fallos para implantar webshells de PHP y ejecutar comandos como root. La postura de este sitio: la explotación ya está confirmada, así que confirme si usted o su proveedor actualizan PHP en cada sitio y pase a la versión corregida hoy. Revise también los registros desde el 17 de octubre en adelante en busca de señales de intrusión. En hosting compartido, consulte el aviso de finalización de su proveedor en su sitio web oficial.