PHP2Shell, segunda parte: explotación activa y un nuevo RCE sin parche
Introducción
La historia de PHP2Shell sumó dos capítulos en menos de 48 horas. Primero, Amazon Threat Intelligence reportó que los atacantes ya estaban explotando las fallas antes de que PHP publicara los parches. Después, el equipo de seguridad de PHP dio a conocer una nueva vulnerabilidad de ejecución remota de código (RCE) sin parche, que afecta a configuraciones no predeterminadas.
Si todavía no actualizaste, este es el momento. Si ya actualizaste, hay tareas que conviene completar igual.
Explotación antes del parche
Según el reporte difundido por BleepingComputer, la explotación de PHP2Shell comenzó cuatro días antes de la publicación de los parches. Eso cambia la lectura del riesgo: no se trata de una falla teórica, sino de una que ya estaba siendo aprovechada mientras la mayoría de los sitios seguía sin actualizar.
La consecuencia práctica es simple: la ventana de exposición ya ocurrió. Además de parchear, conviene revisar si hubo signos de actividad sospechosa y rotar credenciales sensibles.
El nuevo RCE sin parche
El 23 de octubre, PHP publicó mitigaciones para una nueva vulnerabilidad RCE que afecta a sistemas con configuraciones no predeterminadas y que todavía no tiene parche. No es la misma falla que PHP2Shell, pero comparte el patrón: memoria, errores fatales y estados que sobreviven entre requests.
La recomendación oficial es aplicar las mitigaciones disponibles y revisar la configuración del servidor. Si no administrás tu infraestructura, pedile a tu hosting que confirme qué medidas aplicó.
Qué hacer ahora, en orden
- Verificá la versión de PHP y confirmá que esté en 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o superior).
- Aplicá las mitigaciones publicadas para el nuevo RCE mientras no haya parche.
- Revisá logs por errores 500 repetidos, requests multipart extraños y consumo anómalo de memoria.
- Rotá credenciales de base de datos, claves de API y tokens de pago si tu sitio estuvo expuesto.
- Activá o revisá reglas de WAF como red de seguridad.
- Documentá el estado de cada sitio que administrás.
Por qué esto importa para tu negocio
Un RCE en PHP no distingue entre una web institucional y una tienda online. En un ecommerce, la memoria del proceso puede contener sesiones de clientes y credenciales de integraciones. En un sitio corporativo, puede exponer accesos internos.
La diferencia entre un incidente y un susto suele ser haber actuado a tiempo.
Conclusión
PHP2Shell ya no es solo una noticia: es un evento con explotación confirmada y un nuevo frente abierto. Si no tenés un responsable técnico claro, es momento de designarlo.
En Codit Digital revisamos la versión de PHP, aplicamos parches y dejamos tu sitio monitoreado. Si querés una revisión urgente, hablemos.
