Los investigadores de JFrog han publicado nuevos análisis sobre las vulnerabilidades PHP2Shell, identificadas con las referencias CVE-2026-109618 y CVE-2026-109619. Según ellos, estas vulnerabilidades no requieren configuración particular ni complementos, y afectan directamente al motor PHP, el lenguaje de programación utilizado por muchos sitios web.
- JFrog publica nuevos análisis sobre las vulnerabilidades PHP2Shell, CVE-2026-109618 y CVE-2026-109619.
- Las fallas afectan al motor PHP y permiten ejecutar código sin autenticación, sin que la aplicación pueda bloquearlo.
- Circulan falsas pruebas de concepto en GitHub, difundidas por actores maliciosos y bromistas.
- JFrog integra estas vulnerabilidades en Xray y Catalog, y recomienda parchear o aislar los sistemas expuestos.
Para estos trabajos, los investigadores indican haber reconstituido el funcionamiento de las vulnerabilidades antes de su divulgación pública. También han desarrollado pruebas de concepto (PoC), es decir, programas que demuestran que una vulnerabilidad puede ser explotada, que describen como funcionales.
Vulnerabilidades que eluden las protecciones de la aplicación
Según los escáneres de seguridad contextual de JFrog, las vulnerabilidades afectan al procesamiento de solicitudes POST multipart y a los archivos de seguimiento del progreso de las sesiones. Los datos maliciosos serían deserializados, es decir, reconstruidos a partir de su forma bruta, incluso antes de la ejecución de un script de aplicación. Por lo tanto, ninguna lógica de la aplicación puede bloquear el código malicioso.
Según JFrog, el exploit desvía un mecanismo de PHP relacionado con el progreso de las sesiones y recurre a la serialización de objetos ficticios para tomar el control del registro RIP, un componente que indica al procesador qué instrucción ejecutar. Así puede permitir la ejecución remota de código sin autenticación (RCE), o exponer el contenido de la memoria, como en el caso de Heartbleed.
Exploits falsos en circulación
Mientras los equipos de seguridad se activan para desplegar los parches, JFrog ha detectado en GitHub falsas pruebas de concepto de explotación. Estos contenidos son difundidos por actores maliciosos que se aprovechan de la confusión, y también circulan programas maliciosos con fines de broma.
JFrog indica que sus productos Xray y Catalog integran ahora la información sobre las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. El objetivo es ayudar a las empresas a analizar sus entornos e identificar los sistemas expuestos. El análisis técnico completo, que detalla los mecanismos de explotación, está disponible en el blog JFrog Research.
Niv Lanyado, líder del equipo de investigación de seguridad de JFrog, subraya la necesidad de una supervisión extensa:
«Con PHP2Shell, las empresas deben entender que la vulnerabilidad se activa en el núcleo del motor PHP, incluso antes de la ejecución del código de la aplicación. Por lo tanto, las protecciones tradicionales a nivel de aplicación no pueden bloquearla, y ninguna medida de mitigación en su código puede remediarla. Una visibilidad automatizada en todos los entornos es esencial, especialmente para identificar las instalaciones de PHP antiguas o al final de su vida útil que ya no recibirán actualizaciones binarias del editor. El objetivo es asegurarse de que cada sistema expuesto sea inmediatamente parcheado o aislado.»
