Resumen:
Cloudflare, una empresa global de seguridad de redes y servicios en la nube, anunció el 21 de octubre de 2026 que ha implementado reglas de protección de firewall de aplicaciones web (WAF) contra dos vulnerabilidades de seguridad graves conocidas como "php2shell" en el lenguaje de programación PHP. Las dos vulnerabilidades están numeradas como CVE-2026-109618 y CVE-2026-109619 respectivamente, lo que puede provocar denegación de servicio, ejecución remota de código y fuga de datos confidenciales.
>
Cloudflare declaró que la empresa comenzó a preparar medidas de protección antes de que la vulnerabilidad se hiciera pública oficialmente y completó la implementación aproximadamente 9 horas antes de que la vulnerabilidad se hiciera pública. A partir de las 3:02 a. m. UTC del 21 de octubre, tanto los clientes gratuitos como los pagos que habiliten Cloudflare WAF recibirán protección de forma predeterminada.
Este trabajo de protección es una de las acciones de respuesta coordinada en las que Cloudflare participó junto con la Fundación PHP, OpenAI, Wiz y otras organizaciones. Cuando la información sobre vulnerabilidades se filtra con anticipación y los atacantes comienzan a intentar explotar las vulnerabilidades, los equipos de seguridad relevantes continúan ajustando las reglas de protección y se esfuerzan por brindar protección adicional para los servicios de Internet antes de que los operadores de sitios web completen las actualizaciones de software.
Cloudflare dijo que antes de que la vulnerabilidad se hiciera pública oficialmente, la empresa había observado tráfico de ataques dirigido a clientes. El equipo de seguridad también descubrió que los atacantes continuaron modificando las cargas útiles del ataque en un intento de eludir las medidas de protección implementadas. Al rastrear la cantidad de coincidencias de reglas y analizar los cambios en los atacantes combinados con la lógica de las reglas, Cloudflare puede ajustar continuamente el mecanismo de detección para hacer frente a nuevas variantes de ataque.
PHP es un lenguaje de programación del lado del servidor ampliamente utilizado en Internet. Cloudflare citó datos de W3Techs y señaló que casi el 70% de los sitios web del mundo utilizan PHP. Las plataformas de sitios web comunes, incluidas WordPress y Magento, dependen de PHP para ejecutarse. Por lo tanto, una vez que se produce una vulnerabilidad grave en el entorno operativo subyacente, puede afectar a una gran cantidad de sitios web, servicios en línea y aplicaciones empresariales.
Esta vulnerabilidad afecta al tiempo de ejecución de PHP en sí, no a un programa o complemento de sitio web específico. Un atacante puede enviar una solicitud HTTP especialmente construida al servidor, lo que hace que PHP maneje problemas de memoria en un estado anormal. Según la información revelada por Cloudflare, dos vulnerabilidades implican que PHP no maneja de forma segura la memoria relacionada y el estado interno cuando se agota la memoria o se producen errores fatales durante el procesamiento de solicitudes.
La primera vulnerabilidad, CVE-2026-109618, implica el manejo de excepciones después del agotamiento de la memoria. Cuando PHP interrumpe la solicitud cuando algunos datos internos no se han inicializado, las operaciones de limpieza posteriores pueden utilizar por error estos datos que no se han inicializado de manera efectiva como datos normales, lo que provoca daños en la memoria.
La segunda vulnerabilidad, CVE-2026-109619, involucra el estado interno que permanece después de que finaliza la solicitud. Cuando ocurre un error fatal en una solicitud, el proceso PHP puede continuar reteniendo referencias a la memoria liberada. Si el mismo proceso maneja posteriormente otra solicitud, puede acceder a la memoria que ha caducado, lo que provoca la fuga de datos confidenciales o incluso crea condiciones para futuros ataques.
Un atacante puede desencadenar estas excepciones mediante la creación de solicitudes específicas. Las solicitudes más grandes pueden causar presión en la memoria, pero el riesgo no se limita a consumir recursos del servidor. Los atacantes también pueden aprovechar fallas en el manejo de memoria no válida por parte del programa para bloquear el proceso PHP, filtrar información confidencial o ejecutar código proporcionado por el atacante.
Ante tales vulnerabilidades, las reglas tradicionales de firewall de aplicaciones web no siempre proporcionan una base lo suficientemente confiable para realizar un juicio. Cloudflare señala que, al inspeccionar únicamente las solicitudes entrantes, a veces es difícil distinguir con precisión los ataques maliciosos del tráfico normal. Si puede analizar la solicitud y la respuesta devuelta por el servidor al mismo tiempo, tendrá la oportunidad de obtener más información contextual, determinar con mayor precisión si el ataque fue exitoso y reducir la probabilidad de interceptar solicitudes normales por error.
Con este fin, Cloudflare ha desarrollado una nueva capacidad WAF llamada "Detección completa de transacciones". Este mecanismo combina señales de solicitud y respuesta en la misma transacción HTTP para su análisis. Cuando las reglas de detección confirman que una transacción cumple con las características de ataque, el contenido de la respuesta del servidor de origen se puede interceptar antes de devolverlo al solicitante.
Las reglas de protección implementadas para php2shell son las primeras reglas de detección administradas lanzadas por Cloudflare utilizando esta nueva capacidad. La empresa cree que al analizar exhaustivamente las solicitudes y respuestas, puede identificar ataques complejos y al mismo tiempo reducir los posibles errores de juicio causados por confiar únicamente en las características de la solicitud.
En términos de implementación específica, Cloudflare declaró que los usuarios del paquete gratuito no necesitan habilitar manualmente nuevas reglas de protección. Las reglas relevantes se han implementado automáticamente en el conjunto de reglas gratuito alojado en Cloudflare. Los paquetes pagos brindan protección a través de conjuntos de reglas administradas por Cloudflare. Los usuarios de las ediciones Professional, Business y Enterprise deben confirmar que los conjuntos de reglas relevantes estén habilitados y en modo de bloqueo, en lugar de simplemente registrar eventos de ataque.
Cloudflare también implementa reglas de bloqueo predeterminadas para firmas de ataques de alta confianza en sus reglas predeterminadas de Managed Response Firewall. Los usuarios pueden ingresar a la interfaz de análisis de seguridad para ver las solicitudes interceptadas, las reglas coincidentes y las rutas relacionadas para comprender si su sitio web está bajo ataque. Para los clientes que requieren un control más granular, también se puede ajustar el alcance de los conjuntos de reglas administrados.
Sin embargo, Cloudflare ha enfatizado repetidamente que la protección WAF solo se puede utilizar como parte de una defensa en profundidad y no puede reemplazar el parche oficial de PHP. Incluso si un sitio web tiene habilitado el firewall de Cloudflare, los administradores deben actualizar el software PHP real que se ejecuta en el servidor lo antes posible. La razón es que WAF reduce los riesgos principalmente al identificar y bloquear el tráfico de ataques conocidos o detectables, mientras que la vulnerabilidad en sí aún existe en el entorno de ejecución de PHP sin parches. Una vez que un atacante adopta un nuevo método de ataque, o la solicitud no se identifica con precisión según las reglas existentes, el sistema aún puede estar en riesgo.
Para las organizaciones que no pueden completar la actualización de inmediato, Cloudflare recomienda continuar habilitando la protección WAF, al tiempo que limita las funciones de carga de archivos innecesarias y establece límites de tamaño de archivo razonables para las interfaces de carga que deben conservarse. Estas medidas pueden ayudar a reducir la exposición de algunas rutas de ataque, pero no pueden resolver completamente el problema de la vulnerabilidad. Para los sitios web que utilizan alojamiento administrado, si el operador no puede administrar directamente la versión PHP, debe comunicarse con el proveedor del servicio de alojamiento lo antes posible para confirmar si ha implementado actualizaciones de seguridad oficiales.
Cloudflare declaró que su equipo de análisis de seguridad continuará monitoreando las actividades de ataque y actualizando las reglas de protección en función de las nuevas tecnologías y variantes de carga útil adoptadas por los atacantes. La compañía también recomienda que los usuarios continúen conservando la protección WAF relevante mientras reparan las vulnerabilidades de PHP para formar una defensa de múltiples capas.
Este incidente resalta la importancia de los mecanismos de respuesta de seguridad en Internet. Para las vulnerabilidades de software subyacentes que tienen un gran impacto y pueden explotarse de forma remota, simplemente lanzar un parche no es suficiente para garantizar que todos los sitios web vuelvan a ser seguros de inmediato, porque la velocidad de actualización, las capacidades de mantenimiento y los métodos de administración del servidor de los diferentes operadores varían mucho. Los proveedores de servicios en la nube implementan reglas de protección con anticipación para ganar un tiempo valioso entre el lanzamiento del parche y la instalación a gran escala.
Pero a largo plazo, la solución más confiable sigue siendo actualizar a la versión de reparación de PHP lanzada oficialmente. Las medidas de protección temporal de Cloudflare pueden proporcionar barreras adicionales para los sitios web, pero no pueden garantizar que se bloqueen todas las variantes de ataque. Para los sitios web que ejecutan PHP, la reparación oportuna del entorno operativo subyacente, mantener habilitadas las reglas del firewall y la verificación continua de solicitudes anormales siguen siendo medidas clave para abordar esta vulnerabilidad de php2shell.
Artículos relacionados:
PHP ha expuesto graves vulnerabilidades de seguridad y los operadores de sitios web globales han entrado urgentemente en un estado de parcheo
Comentarios