Un honeypot registra 35 shells reales con la falla PHP2Shell
La ejecución remota ya se demostró contra PHP 8.4.26 con mod_php. Hay parche desde el 21 de octubre y los conteos técnicos hablan de millones de hosts, no de cien.
Un investigador de Perplexity registró 35 shells reales en tres honeypots, servidores señuelo, con la falla PHP2Shell. El informe de Adel Karimi en GitHub, fechado el 24 de octubre, describe ejecución remota de código contra PHP 8.4.26 con mod_php, el módulo que corre PHP dentro de Apache.
Es la primera demostración con capturas de red. Hasta ahora había intentos y caídas de PHP, pero no una ejecución confirmada: cada shell, un proceso /bin/sh lanzado por un worker de Apache, coincide con una petición POST completa. Tres salieron de una dirección IP y 32 de otra; no se vio la descarga de un segundo archivo. Otras dos IP mandaron peticiones con forma de exploit, sin ejecución confirmada.
Las fallas son CVE-2026-109618 y CVE-2026-109619, ambas con 9.2 en la escala CVSS v4.0. PHP las corrigió el 21 de octubre en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las ramas 7.4, 8.0 y 8.1 están afectadas y no tienen versión oficial corregida; la 8.1 y las anteriores ya no reciben actualizaciones del proyecto, así que el arreglo depende de la distribución o del proveedor de hosting. watchTowr ya había visto explotación de ambas el 21 de octubre en sus propios honeypots.
El montaje de Karimi favorece al atacante: un solo worker de mod_php y 128 MiB de memoria. El propio informe advierte que sus cifras no miden qué tan fiable es el exploit en otras configuraciones, y son telemetría de una sola fuente. La firma Sansec había advertido el mismo 21 que los exploits públicos fallan en una instalación por defecto y que casi todos necesitan otra falla en la aplicación.
La cifra de 100 millones
Circula que hay más de 100 millones de servidores expuestos. Ni PHP.net, ni watchTowr, ni el informe de Karimi la contienen. Las preguntas frecuentes de Tenable recogen otras. Silas Cutler estima, a grandes rasgos, más de 1.3 millones de hosts potencialmente vulnerables. Henk Poley contó en Shodan más de 1.9 millones con PHP a la vista, sin distinguir versión. Nadie ha contado cuántos son vulnerables de verdad.
La cifra grande parece mezclar uso con exposición. PHP corre en 69.3 % de los sitios cuyo lenguaje de servidor se conoce, según W3Techs, citado por Tenable, pero eso no dice cuántos están sin parche y a la vista.
Para quien usa los servicios y no los administra, el riesgo está en los sitios que visita y en equipos como los NAS. QNAP ya reconoció que sus productos usan PHP vulnerable y no ha fijado fecha de corrección. Ninguna de las dos CVE figuraba aún en el catálogo de vulnerabilidades explotadas de la CISA al 23 de octubre.
