Apertura · Vulnerabilidades
PHP figura dos veces en el KEV, y las shells llegaron antes que el aviso
La CISA añadió el 26 de octubre dos fallos de ejecución remota de código sin autenticación en el propio PHP; el día 24 se observaron shells operativas en honeypots, y Siemens, Schneider Electric y ABB han empezado a revisar sus propios armarios.
CVE-2026-109618 es una corrupción de memoria. CVE-2026-109619 es un error de estado de solicitud interno obsoleto. La CISA describe ambos con la misma voz monocorde que emplea para todo: contiene una vulnerabilidad que permite la ejecución remota de código sin autenticación. Sus puntuaciones EPSS son 0,99981 y 0,99997, que es la forma que tiene el sistema de puntuación de encogerse de hombros y decir que sí, obviamente, todos, pronto. En conjunto se las denomina PHP2Shell, y SecurityWeek informa de que los atacantes pasaron de los sondeos a shells operativas contra honeypots el 24 de octubre: treinta y cinco shells, dos direcciones IP, un sábado.
La cronología es lo que conviene retener. Explotación el día 24, KEV el 26, y un pulso de OTX fechado el 26 que describe a un actor de habla coreana, rastreado como la campaña Minjun de junio de 2026 y vinculado con confianza moderada a Lazarus Group, como si estuviera planificando activamente una explotación dirigida de los dos fallos. Planificando. Uno de estos documentos va por detrás del otro, y no es el honeypot. Tratemos «planificando» como un verbo que era cierto la semana pasada.
Después, el alcance. No se trata de un complemento, sino del intérprete sobre el que descansa una enorme parte de la web, incluido WordPress, que aporta aproximadamente la mitad del flujo de CVE de estos feeds en un día cualquiera. Siemens, Schneider Electric y ABB han confirmado que algunos de sus productos están afectados, la frase que, a lo largo de varios meses, convierte un fallo web en un problema de OT. PHP no se parchea en una subestación eléctrica un martes por la tarde.
Por qué importaSi ejecuta PHP en cualquier punto expuesto a internet —y lo hace, solo que aún no ha terminado de encontrarlo—, esto es trabajo para esta noche, no para este trimestre.