¿Pueden los atacantes tomar el control de servidores PHP sin iniciar sesión?

Los atacantes podrían tomar el control de servidores que ejecutan el lenguaje de programación PHP sin iniciar sesión, según investigadores de seguridad de Wiz Research, quienes revelaron el 21 de octubre un conjunto de fallas críticas en el código. Casi todas las versiones de PHP están afectadas, incluidas las publicadas desde PHP 5.4. El lenguaje impulsa un estimado del 70% de los sitios web, incluidos los construidos con WordPress, Drupal y Joomla.

La empresa afirma que las vulnerabilidades también podrían permitir a los atacantes leer datos sensibles de la memoria de un servidor, incluidas contraseñas, tokens de autenticación, claves API y certificados que pertenecen a otros usuarios o al propio servidor. Las fallas se encuentran en el motor central de PHP, por lo que pueden afectar a un sitio web aunque su propio código de aplicación sea seguro.

Wiz rastreó los problemas bajo dos CVE, CVE-2026-109618 y CVE-2026-109619, con una severidad que alcanza una puntuación CVSS de 9,2. Los errores en sí no son nuevos. Wiz afirma que estaban presentes en la base de código de PHP desde hace más de una década, pero convertirlos en ataques funcionales requería encadenar varias fallas y ajustar cada ataque a la disposición de memoria de un objetivo específico. Ese trabajo era lento y especializado.

¿Cómo ayudó la IA a los investigadores a encontrar las fallas de PHP?

Wiz afirma que la IA cambió ese cálculo. La empresa utilizó Wiz Atlas, Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI a lo largo de la investigación. Wiz atribuye a Gemini 4 Argon una contribución importante en el hallazgo de las vulnerabilidades, el desarrollo del exploit, la detección de ataques y la validación del parche. Los modelos ayudaron a adaptar el exploit a diferentes versiones y configuraciones de PHP, y analizaron pruebas fallidas y ajustaron el código para corregirlas. Wiz señaló que su equipo construyó exploits funcionales en múltiples aplicaciones en cuestión de horas.

La empresa combinó las fallas en un único script de explotación que llama php2shell. Wiz indicó que el script podía ejecutar código de forma remota en implementaciones predeterminadas de WordPress, Drupal y Joomla, usando sus imágenes de contenedor más recientes en el momento de las pruebas. Según la empresa, esas plataformas sirven como demostración. Una aplicación sencilla de "Hello World" que se ejecute en una versión afectada de PHP también podría ser vulnerable.

Wiz describió los errores como problemas de seguridad de memoria relacionados con la forma en que PHP maneja errores fatales durante el procesamiento de solicitudes, en particular los errores de falta de memoria. Cuando una solicitud termina de forma inesperada, el motor puede dejar un estado interno corrupto. Una solicitud posterior manejada por el mismo proceso de trabajo puede reutilizar ese estado obsoleto, lo que puede filtrar memoria o corromperla. En un caso, según Wiz, un atacante podría leer datos de fuera de su propia solicitud. En otro, el equipo construyó una vía hacia la ejecución remota de código en Drupal.

La cronología de divulgación de Wiz comenzó el 19 de agosto, cuando el equipo encontró por primera vez una vulnerabilidad de PHP usando sus herramientas de IA. La ejecución de código sin autenticación se confirmó en Drupal el 20 de agosto y en WordPress el 21 de agosto. Wiz reportó las fallas al equipo de seguridad de PHP el 24 de agosto. PHP acusó recibo de los reportes y comenzó a desarrollar una solución el 21 de septiembre. Las versiones con parches estuvieron disponibles el 21 de octubre, el mismo día en que los hallazgos se hicieron públicos.

La empresa afirmó que los cuatro errores que reportó son solo una parte del problema. Probablemente existen otras variantes del mismo patrón, algunas de ellas sin rastrear, y el parche busca corregir el problema de fondo y eliminar esas variantes en la versión parcheada. Wiz también reconoció a OpenAI, a la organización sin fines de lucro Calif y al equipo de PHP por su trabajo en el descubrimiento, la coordinación y la verificación del parche. Empresas de nube y alojamiento, entre ellas Cloudflare, AWS, Microsoft, Google Cloud, Akamai, Fastly y Vercel, ayudaron a preparar orientaciones y mitigaciones para los clientes que no pueden aplicar la actualización de inmediato.

Raluca Ada Popa, directora de Gemini Security en Google DeepMind, afirmó que la compañía se alegró de ver cómo el modelo ayuda a los defensores a cerrar una brecha que existió durante años. "Durante más de una década, estas vulnerabilidades críticas permanecieron sin resolver porque descubrirlas y explotarlas era increíblemente complejo", dijo Popa. "Nos complace ver que Gemini 4 Argon ayude a los defensores a cerrar esa brecha, encontrando vulnerabilidades y ayudando a parcharlas".

¿Cómo pueden los administradores detectar intentos de explotación de PHP?

Debido a que los ataques operan por debajo de la capa de aplicación, los registros de las aplicaciones pueden mostrar poca información. Wiz recomienda a los administradores vigilar solicitudes multiparte inusuales seguidas de errores de límite de memoria, respuestas HTTP 500 repetidas, cookies PHPSESSID inesperadamente grandes o malformadas, y una rotación inexplicable de procesos de trabajo de PHP. Wiz afirma que aplicar la actualización de seguridad de PHP es la única solución completa.

Dieser Artikel wurde mit Unterstützung von KI verfasst.
News Factory APP - agentische News für besseres SEO & AEO.