URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches
The Hacker News · 23 oct, 13:25
PHP advierte sobre un nuevo RCE (CVE-2026-115560) dos días después de parchear las vulnerabilidades críticas PHP2Shell. Esta nueva falla afecta solo a aplicaciones web con una configuración inusual (cambiar session.serialize_handler durante la ejecución) y PHP no emitirá un parche de emergencia, sino que recomienda desactivar session.upload_progress hasta la próxima versión estable. Entretanto, la explotación de los dos fallos PHP2Shell anteriores (CVE-2026-109618 y CVE-2026-109619) ha crecido enormemente: los intentos pasaron de decenas de miles a millones en menos de 24 horas tras la divulgación.
CVE-2026-115560 requiere una configuración muy específica: la aplicación debe cambiar session.serialize_handler de php_binary o php_serialize a php mediante ini_set() antes de llamar a session_start(), y session.upload_progress debe estar activo. PHP califica este escenario como improbable en la práctica y lo tratará como un problema de ciclo regular, no de emergencia.
Los dos fallos PHP2Shell anteriores (parcheados en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35) continúan bajo ataque activo. Amazon detectó intentos de explotación el 17 de octubre, cuatro días antes de la divulgación pública del 21 de octubre. Cloudflare registró un aumento de intentos de decenas de miles en los 45 minutos posteriores a la divulgación a millones al día siguiente. Los atacantes han intentado instalar variantes del botnet Mirai, aunque los investigadores reportan que construir un exploit confiable está resultando más difícil de lo esperado y no se han confirmado ejecuciones de código exitosas hasta el momento.
Puntos clave
- CVE-2026-115560 afecta solo configuraciones inusuales con cambio dinámico de serialize_handler
- Mitigación: establecer session.upload_progress.enabled=0 hasta el próximo parche regular
- Los fallos PHP2Shell (CVE-2026-109618 y CVE-2026-109619) ya están parchados en versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12
- Explotación activa de PHP2Shell: millones de intentos en 24 horas tras divulgación; Amazon detectó ataques antes de la revelación pública
- Sin confirmación de código ejecutado exitoso hasta ahora a pesar de intentos masivos
Figuras de la fuente
