Netnovation: Alerta de seguridad crítica en el motor PHP pone en riesgo a servidores web a escala global
Las fallas de ejecución remota de código identificadas como «PHP2Shell» permiten a atacantes no autenticados tomar el control de servidores. La firma especializada Netnovation lideró la emisión de este informe de seguridad para advertir a la comunidad técnica.
Caracas 22 de octubre de 2026. Un aviso de seguridad técnica clasificado con nivel crítico y publicado por la firma especialista Netnovation bajo la referencia INF-SEC-2026-001 revela la presencia de dos vulnerabilidades de alto impacto en el motor del lenguaje PHP. Los fallos permiten a un atacante remoto ejecutar código malicioso sin requerir credenciales ni autenticación previa, registrando una severidad de 9,2 sobre 10 en el estándar CVSS 4.0.
La alerta técnica desarrollada por Netnovation —emitida el 22 de octubre de 2026 tras la divulgación oficial de parches el 20 y 21 de octubre— ofrece una consolidación integral del riesgo para infraestructuras web independientemente del sistema operativo utilizado.
El rol de Netnovation y los detalles técnicos de «PHP2Shell»
En su labor de monitoreo y análisis de ciberseguridad, Netnovation recopiló e interpretó los detalles técnicos de los dos fallos detectados en el motor de procesamiento, apodados por investigadores y la industria como «PHP2Shell»:
- CVE-2026-109618 (RCE via OOM corruption): Ocurre al agotarse la memoria del servidor, dejando los datos de la petición HTTP a medio inicializar; la rutina de limpieza posterior procesa ese estado inválido disparando la falla.
- CVE-2026-109619 (RCE via stale global state): Generado por la presencia de un estado global obsoleto en la ejecución del motor.
El análisis de confirma que el vector de ataque utiliza cuerpos de petición HTTP de tipo multipart que fuerzan el agotamiento de memoria dentro de la directiva post_max_size. El nivel de riesgo varía de acuerdo con la interfaz de servidor (SAPI): en Apache mod_php, se ha demostrado la existencia de un exploit que actúa antes del código de la aplicación, mientras que entornos sobre PHP-FPM, php-cgi, FrankenPHP y LiteSpeed resultan asimismo susceptibles.
Versiones afectadas y ciclo de vida
El informe INF-SEC-2026-001 sistematiza las versiones vulnerables y los parches publicados:
| Rama PHP | Versiones Afectadas | Versión Corregida (Parche) | Estatus de Soporte |
|---|---|---|---|
| PHP 8.5 | 8.5.x anteriores a 8.5.12 | 8.5.12 | Soporte activo |
| PHP 8.4 | 8.4.x anteriores a 8.4.27 | 8.4.27 | Soporte activo |
| PHP 8.3 | 8.3.x anteriores a 8.3.36 | 8.3.36 | Soporte activo |
| PHP 8.2 | 8.2.x anteriores a 8.2.35 | 8.2.35 | Soporte de seguridad hasta el 31/12/2026 |
Las versiones PHP 8.1 e inferiores se encuentran en estado de fin de vida (EOL), dependiendo exclusivamente de parches de distribuciones, mientras que PHP 5 no cuenta con solución disponible.
Impacto corporativo identificado por Netnovation
El análisis de impacto operativo elaborado por la firma advierte sobre tres grandes áreas de riesgo para las organizaciones:
- Acceso no autorizado: Robo masivo de bases de datos, alteración del sitio web (defacement) y extracción de propiedad intelectual.
- Continuidad operativa: Caída total de portales web o secuestro de servidores mediante ransomware.
- Cumplimiento y reputación: Severas sanciones por normativas de protección de datos al exponer información confidencial de usuarios.
Validación de fuentes y estatus de explotación
La alerta emitida fue construida mediante validación cruzada con organismos y fabricantes internacionales de primer nivel, entre los que destacan la CISA, PHP.net, el CERT-EU (Security Advisory 2026-018), la base de datos GHSA, los registros del CNA (MITRE), así como reportes especializados de Qualys, Datadog Security Labs, watchTowr, AlmaLinux y TuxCare.
Netnovation enfatiza en su nota de precisión que la calificación oficial de severidad es de 9,2 en CVSS 4.0, aclarando que la cifra de 9,8 corresponde a la escala previa CVSS 3.1 de NVD y no debe confundirse.
Asimismo, el informe destaca que la CISA no ha registrado explotación activa confirmada en producción. Sin embargo, la disponibilidad de pruebas de concepto (PoC) públicas y la filtración previa de detalles técnicos incrementan el riesgo a corto plazo.
Recomendaciones prácticas de Netnovation para equipos de TI
Netnovation establece una guía priorizada de remediación para administradores de sistemas y encargados de ciberseguridad:
- Auditoría de infraestructura: Inventariar de inmediato instalaciones en paquetes (
apt/rpm), entornos en contenedores, paneles (cPanel/Plesk) y sitios heredados. - Actualización y reinicio de servicios: Aplicar los parches a las versiones correspondientes y reiniciar obligatoriamente todos los procesos PHP (workers y FPM) y reconstruir contenedores, ya que sin este paso el parche no surte efecto en memoria.
- Verificación de parches: Comprobar la instalación ejecutando comandos
apt changelogorpm -q --changelogfiltrando por los CVE identificados.
Mitigación temporal (si la actualización no es inmediata):
- Ajuste de memoria: Configurar
memory_limit=-1a nivel administrativo y reiniciar workers. No se deben utilizar RLIMIT_AS ni RLIMIT_DATA, ya que provocan precisamente la condición de fallo que activa la brecha. - Restricción de parámetros: Reducir
post_max_sizeymax_input_nesting_level, o bloquear peticiones multipart si la aplicación no requiere carga de archivos. - Contención perimetral: Desplegar reglas de inspección en Firewalls de Aplicaciones Web (WAF).
- Aislamiento: En caso de no poder aplicar parches ni mitigaciones, retirar el servidor de línea preventivamente
