PHP2Shell: posible campaña norcoreana y productos OT afectados

📌 Novedades posteriores: PHP2Shell en PAN-OS: correcciones para cinco ramas y Panorama (29 de octubre de 2026) · PHP2Shell y Fragnesia: root en firewalls PAN-OS en 15 minutos (28 de octubre de 2026)

El 26 de octubre de 2026 la CISA añadió las vulnerabilidades PHP2Shell CVE-2026-109618 y CVE-2026-109619 a su catálogo KEV, tras las primeras shells obtenidas en honeypots con PHP 8.4.26 y Apache mod_php (SecurityWeek, BleepingComputer). En nuestros artículos del 20 y del 23 de octubre encuentras el anuncio, las versiones corregidas y la tercera RCE, CVE-2026-115560. A continuación, las novedades: una campaña dirigida atribuida con cautela a Corea del Norte, los productos industriales afectados, las diferencias entre las dos CVE y qué buscar en los registros.

Dos CVE, dos mecanismos

Las descripciones del NVD, ya completas, aclaran que son fallos distintos:

• CVE-2026-109618: PHP usa longjmp() para salir cuando se agota la memoria (OOM); algunos contextos dejan memoria de la petición sin inicializar, y la limpieza posterior la lee. Provocando el OOM se llega a la ejecución de código.
• CVE-2026-109619: un estado global que apunta a la memoria de la petición no se reinicia, y las peticiones siguientes leen memoria ya liberada.

PHP asigna a ambas un CVSS 4.0 de 9,2; el NVD, en CVSS 3.1, da 9,8 a CVE-2026-109618 y 8,1 a CVE-2026-109619 (complejidad alta). Según los CPE del NVD, CVE-2026-109619 afecta a PHP desde la 5.4.0 y CVE-2026-109618 desde la 7.3.0. Versiones corregidas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

Según Security Affairs, que cita a Cyfirma, el peor caso confirmado para CVE-2026-109618 es Apache mod_php con prefork y configuración predeterminada; para CVE-2026-109619 está validado PHP-FPM a través del upload progress de las sesiones. Por tanto, session.upload_progress.enabled=0 solo protege frente a CVE-2026-109619.

Activar el fallo es fácil; ejecutar código de forma fiable, no: la petición siguiente debe llegar al mismo worker con la memoria ya preparada. Según Security Affairs, VulnCheck ejecuta código en x86-64 con ASLR activo contra PHP 8.4.10 a 8.4.26, mientras que en ARM64 solo obtiene fugas de memoria; valoraciones de pocos días antes decían lo contrario. The Register informa de que un pentester ganó un reto público al lograr RCE en unas tres horas con 20 peticiones como máximo, pero con un exploit hecho para ese objetivo concreto.

La campaña señalada por Cyfirma

Solo la publica Security Affairs, citando el informe de Cyfirma:

• dos operadores activos desde marzo de 2026 se coordinan en un canal I2P cerrado, vigilado desde el 22 de octubre;
• el 24 de octubre señalaron 216 hosts sin actualizar o protegidos solo en parte, revisados desde 21 nodos de escaneo (máquinas comprometidas), que también usaron herramientas de web shell e intentaron envenenar sesiones mediante upload progress;
• el escaneo es lento a propósito, con nodos rotatorios que se descartan en cuanto encuentran filtros: las alertas basadas en volumen no saltan;
• los operadores no escriben exploits nuevos: un modelo de IA local clasifica los públicos y después los prueban en laboratorio;
• descartaron los hosts que mostraban una versión corregida.

Cyfirma atribuye la campaña con confianza moderada a la familia Lazarus, por idioma, forma de operar y uso de web shells PHP, pero sin malware ni infraestructura en común, y admite que un grupo criminal de habla coreana encajaría con los mismos hechos. Objetivos: primero organismos gubernamentales y bancos, luego logística, puertos, aeropuertos, industria manufacturera y plataformas de transacciones; entre las zonas citadas está la Unión Europea. No hay víctimas conocidas.

El informe incluye reglas Sigma, Splunk y YARA (estas aún no probadas con código real) y las direcciones de los nodos; algunas pertenecen a posibles víctimas, así que un contacto con ellas no identifica al atacante.

Técnicas MITRE ATT&CK: T1595 (Active Scanning), T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell).

Productos industriales y de red afectados

Según SecurityWeek:

• Schneider Electric: EcoStruxure Security Expert (corregido en la 1.48.4.0), ProLeiT LINEoptimize, EcoStruxure Control Engineering (por ahora solo mitigaciones);
• Siemens: RUGGEDCOM APE1808 con PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2 (el NVD también incluye PAN-OS y el APE1808);
• ABB: MES con DokuWiki; B&R: APROL hasta R 4.4-65;
• Johnson Controls: Illustra y Visonic PowerManage, corregidos;
• Belden: NetModule NRSW sin parche (desactivar la interfaz web) y macmon 6.x y 7.x;
• HMS Networks (Netbiter) y Wibu-Systems (CodeMeter License Central): actualizaciones disponibles.

Rockwell Automation y Moxa no tienen productos afectados confirmados; Hitachi Energy lo está investigando.

Impacto para las empresas europeas e italianas

La UE está entre las zonas citadas, y logística, transporte, industria manufacturera y banca son sectores NIS2. El punto delicado es el PHP dentro de equipos y software de terceros: MES, control de accesos, videovigilancia, routers industriales. No aparece en los inventarios de paquetes y solo se actualiza con el firmware del fabricante. Para las entidades NIS2 es gestión de proveedores: pregunta a cada uno y documenta su respuesta. En sanidad vale también para el control de accesos y la videovigilancia de los hospitales. Un incidente significativo debe valorarse para su notificación al CSIRT nacional (en Italia, el CSIRT Italia).

Qué hacer ya

1. Actualiza y reinicia todos los workers: un reload que mantiene vivos los antiguos conserva el estado defectuoso. Para 8.1, 8.0 y 7.4 solo hay backports mínimos; cPanel, CloudLinux, TuxCare y Plesk tienen compilaciones propias. De la 5.4 a la 7.3: migra o aísla.
2. No confíes en una sola mitigación: desactivar el upload progress solo cubre CVE-2026-109619. Si no puedes actualizar en pocas horas, aísla los sistemas expuestos, empezando por mod_php.
3. Revisa los equipos OT y de red con los avisos de los fabricantes.
4. Si sospechas una intrusión, adquiere memoria y registros antes de actualizar (el reinicio borra el estado de CVE-2026-109619), reconstruye desde una imagen fiable, cambia los secretos accesibles desde el worker y busca hasta el 17 de octubre.
5. Qué buscar: procesos de PHP o del servidor web que lanzan programas inusuales, POST multipart a páginas que no reciben archivos, caídas de workers y errores de memoria, nuevos archivos PHP en las carpetas web, nuevos cron, usuarios o claves SSH. Los registros de la aplicación no suelen mostrar nada: el fallo se activa antes del código de la aplicación.
6. No ejecutes PoC encontrados en internet: algunos contienen malware.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina, destacando las ya explotadas. ARX Sentry enumera el software y los procesos de los servidores con el agente, señala las ejecuciones sospechosas y controla la integridad de los archivos en las carpetas elegidas, como las web. ARX Expose indica los servicios públicos y los productos reconocidos; ARX Radar reconoce también los escaneos lentos y las fuentes que atacan a varias empresas.

Última actualización: 27 de octubre de 2026