.svg?width=93&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Home"){kind=logo}
.svg?width=7&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Top Navigation - Sign in - Icon")
23 de octubre, 19:31 UTC: lista completa de contramedidas de Sophos
En respuesta a las solicitudes recibidas, esta actualización recopila las contramedidas de Sophos relacionadas con las vulnerabilidades de PHP2Shelll.
SophosLabs ha desarrollado las siguientes contramedidas para detectar específicamente la actividad asociada a esta amenaza.
| Nombre | ID | Platforma |
| SERVER-WEBAPP Colisión de claves enteras serializadas en PHP: intento de ejecución remota de código | 67359, 67360, 67375 | Sophos Firewall IPS |
| PHP2Shell CVE-2026-109618 / CVE-2026-109619 Vulnerabilidades de ejecución remota de código | 213184, 213185, 213187, 213188, 213189 | Sophos Firewall IPS, Endpoint IPS |
| VID444662: detectado un nombre de archivo inusualmente largo en el cuerpo de una solicitud HTTP POST - Entrante (CVE-2026-109618, CVE-2026-109619) - PHP2Shell | 62983 | iSensor |
| VID444662: etectada inyección de código PHP a través del parámetro de nombre de archivo - Entrante (CVE-2026-109618, CVE-2026-109619) - PHP2Shell | 62986 | iSensor |
| VID444662: detectado intento de corrupción OOM para RCE en PHP - Entrante (CVE-2026-109618) - PHP2Shell | 62988 | iSensor |
La siguiente tabla enumera otras contramedidas preexistentes de Sophos que probablemente abordarán la actividad posterior a la explotación asociada a estas vulnerabilidades.
| Nombre | ID | Platforma |
| Actividad de postexplotación de webshell | No aplicable | Sophos Protection for Linux |
| Transferencia de herramientas de entrada | No aplicable | Sophos Protection for Linux |
| Shell interactivo sospechoso | No aplicable | Sophos Protection for Linux |
| Detección avanzada de webshell | No aplicable | Sophos Protection for Linux |
| Servidor web comprometido (cobertura opcional) | No aplicable | Sophos Protection for Linux |
| Php-cgi.exe que inicia un proceso sospechoso a través de IIS | Access_1b | Sophos Endpoint and Server Protection (Windows) |
| Actividad maliciosa de procesos secundarios que involucra a cmd.exe, powershell.exe o certutil.exe en una cadena de procesos de un servidor PHP cubierto | Access_3b | Sophos Endpoint and Server Protection (Windows) |
| WIN-DET-PERSIST-WEBSHELL-W3WP-SUSP-CHILD-1 | No aplicable | Sophos XDR |
| WIN-DET-T1190 | No aplicable | Sophos XDR |
| WIN-CAC-PSH-WEBCLIENT-UPLOAD-1 | No aplicable | Sophos XDR |
| WIN-DIS-PRC-SUSP-WEB-SERVER-1 | No aplicable | Sophos XDR |
| WIN-DIS-PRC-SUSP-WEB-SERVER-1-LOW | No aplicable | Sophos XDR |
| WIN-EXE-PRC-PHP-EXE-IN-SUSPICIOUS-PATH-1 | No aplicable | Sophos XDR |
| WIN-EXE-PRC-PHP-EXE-IN-SUSPICIOUS-USERS-PATH-1 | No aplicable | Sophos XDR |
| WIN-EXE-PRC-PHP-EXE-IN-SUSPICIOUS-USERS-PATH-1-HIGH | No aplicable | Sophos XDR |
| WIN-EXE-PRC-RENAMED-PHP-EXE-1 | No aplicable | Sophos XDR |
| WIN-PER-PRC-WEBSHELL-SPAWN-SUS-PROCESS-1 | No aplicable | Sophos XDR |
| UNX-CAC-PRC-PARENT-WGETPHP-DOWNLOAD-1 | No aplicable | Sophos XDR |
| UNX-CAC-PRC-PHP-REVERSE-SHELL-1 | No aplicable | Sophos XDR |
| Ejecución remota de código PHP-CGI | No aplicable | Taegis/Fusion XDR |
| Explotación de PHP-CGI | No aplicable | Taegis/Fusion XDR |
| INVESTIGACIÓN: explotación de PHP-CGI 3 | No aplicable | Taegis/Fusion XDR |
| INVESTIGACIÓN: PHP-CGI ejecuta varios comandos «discover» | No aplicable | Taegis/Fusion XDR |
| Posible actividad de línea de comandos de un exploit de PHP-FPM | No aplicable | Taegis/Fusion XDR |
| INVESTIGACIÓN: Proceso PHP o Java descargando vía Wget o Curl | No aplicable | Taegis/Fusion XDR |
| Shell web PHP que ejecuta un comando | No aplicable | Taegis/Fusion XDR |
| Actividad de shell web PHP | No aplicable | Taegis/Fusion XDR |
23 de octubre, 15:35 UTC: nota sobre una vulnerabilidad adicional de PHP y nuevas contramedidas para PHP2Shell
El 23 de octubre, PHP publicó un aviso informativo en el que revelaba otra vulnerabilidad de ejecución remota de código (CVE-2026-115560). El aviso indica que el problema requiere «una combinación inusual de configuración y código de aplicación» y que las medidas de mitigación publicadas para la vulnerabilidad PHP2Shell CVE-2026-109619 también abordan esta amenaza. Sophos seguirá vigilando la vulnerabilidad y publicará información actualizada y medidas de protección adicionales según sea necesario.
SophosLabs también ha publicado medidas de protección adicionales contra PHP2Shell, concretamente las firmas 213184, 213185, 213187, 213188 y 213189 para Sophos Firewall y Endpoint IPS.
22 de octubre, 21:21 UTC: Corrección y nuevos datos, contramedidas e indicadores
En la actualización anterior (22 de octubre, 16:18 UTC) se informaba de que Sophos había observado una explotación exitosa de PHP2Shell en entornos de clientes. Tras un análisis más detallado, corregimos esa valoración, ya que los datos de telemetría de los clientes de Sophos muestran escaneos y un pequeño número de intentos de explotación fallidos. A fecha de esta actualización, no hay pruebas de que se haya producido una intrusión exitosa debido a estas vulnerabilidades.
La carga útil, probablemente una variante de la botnet Mirai conocida como Potassium, no se entregó, ya que el intento de explotación no tuvo éxito al ser bloqueado por las contramedidas de Sophos. Sin embargo, el análisis de la muestra reveló que se trata de una versión actualizada y significativamente ampliada de la variante de la botnet derivada de Mirai identificada a principios de 2026. La muestra presenta funcionalidades de descarga y de interrupción de la red. Resuelve una dirección C2 cifrada y codificada de forma fija; establece una conexión TCP con 134[.]199[.]154[.]64; y envía una solicitud HTTP. Comprueba si hay un estado de respuesta HTTP 200 y verifica que la carga útil resultante comience con los bytes mágicos ELF 7F 45 4C 46, lo que indica que espera recuperar una carga útil ELF de Linux.
Una función de resolución admite direcciones IPv4 y la resolución de nombres de host, con una lógica de resolución alternativa adicional que incluye servidores DNS públicos codificados de forma fija, como 8.8.8.8, 1.1.1.1 y 1.0.0.1. Al igual que el malware Mirai en el pasado, esta muestra puede ejecutar ataques DDoS.
El análisis de Sophos sobre las vulnerabilidades sugiere que desarrollar un exploit que funcione no es nada sencillo. El Sophos Adversary Group ha estado intentando crear un exploit que funcione, lo cual está resultando complicado incluso con ayuda de la IA. La falta de exploits exitosos en el mundo real sugiere que los actores maliciosos también están teniendo dificultades. Algunos investigadores de seguridad afirman haber desarrollado exploits que funcionan, pero es posible que estos solo funcionen en entornos de laboratorio y no en el mundo real. Para que la explotación funcione, puede que también se necesiten ciertas dependencias o configuraciones. A pesar del bajo nivel de actividad, las vulnerabilidades siguen siendo graves. Con el tiempo, los atacantes podrían desarrollar exploits que funcionen. La recomendación principal sigue siendo aplicar los parches lo antes posible.
Las siguientes nuevas contramedidas de Sophos están relacionadas con esta amenaza. Estas se suman a las reglas existentes de Sophos Endpoint XDR, Taegis XDR, Protección de comportamiento de Windows y Detección en tiempo de ejecución de Linux.
Firmas IPS de Sophos Firewall: 67359, 67360, 67375, 2313184, 2313185, 2313187 y 2313188
Firmas IPS de Sophos Endpoint: 2313184, 2313185, 2313187, 2313188 y 2313189
Los investigadores de CTU también asocian los indicadores adicionales de la siguiente tabla con esta actividad. Las direcciones IP pueden asignarse. Los dominios y las direcciones IP pueden contener contenido malicioso, así que ten en cuenta los riesgos antes de abrirlos en un navegador.
| Indicador | Tipo | Contexto |
| 134[.]199[.]154[.]64 | Dirección IP | Servidor C2 de Potassium, una posible variante de Mirai |
| 117[.]55[.]202[.]115 | Dirección IP | Servidor C2 de Potassium, una posible variante de Mirai |
| hackattackkaboom[.]botlesscucks[.]st | Nombre de dominio | Servidor de preparación de malware utilizado por la carga útil relacionada con PHP2Shell |
| hik[.]gettingheadfromduckysmom[.]st | Nombre de dominio | Infraestructura de Potassium integrada en la carga útil relacionada con PHP2Shell |
22 de octubre a las 16:18 UTC: observaciones de Sophos, actividad de explotación, contramedidas e indicadores
A estas dos vulnerabilidades se las conoce ahora comúnmente como «PHP2Shell». El código de explotación de prueba de concepto está disponible públicamente, y los cazadores de amenazas de Sophos han identificado múltiples intentos de explotación compatibles con la actividad de PHP2Shell, además de una explotación exitosa. Aunque los análisis de Sophos han concluido que la explotación de estas vulnerabilidades es viable, el éxito en la ejecución remota de código posterior depende de la arquitectura de implementación, la versión de PHP y la configuración. A fecha de esta actualización, los analistas de Sophos no han observado pruebas que vinculen la actividad con el despliegue de ransomware, el robo de datos o el compromiso de la cadena de suministro.
En la actividad observada por los cazadores de amenazas de Sophos, esta se originó desde la dirección IP 45[.]198[.]224[.]169 y entregó una carga útil que parece ser una variante de Mirai conocida como Potassium.
El tráfico incluía una cadena «User-Agent» que hacía referencia a una actividad de escaneo, una cadena de delimitación multiparte y un patrón de solicitud POST distintivo. La actividad dio lugar a que se escribiera una carga útil en /tmp/nfs y se ejecutara como ./nfs php.
Los analistas de Sophos observaron los siguientes indicadores de amenaza.
| Indicador | Tipo | Contexto |
| 45[.]198[.]224[.]169 | Dirección IP | Origen del intento de explotación de PHP2Shell |
| 92[.]118[.]112[.]100 | Dirección IP | Alojamiento de la carga útil asociada a la actividad de explotación de PHP2Shell |
| hxxp://92[.]118[.]112[.]100/nfs | URL | Ubicación de la carga útil relacionada con la actividad de explotación de PHP2Shell |
| thunder[.]godofthunder[.]st | Nombre de dominio | Dominio al que accedió una muestra de malware relacionada con PHP2Shell durante el análisis en sandbox |
| b61a098fc62a2c2696e196dca78da71a | Hash MD5 | Probable variante de Mirai descargada durante el ataque de PHP2Shell |
| c472dab4ff7c16782a8037f988d4daa6d4bdb343 | Hash SHA1 | Probable variante de Mirai descargada durante el ataque de PHP2Shell |
| 0c5486f06620e26e316f4b33f318b0d646d5e1133789331aa2fed012360d1486 | Hash SHA256 | Probable variante de Mirai descargada durante el ataque con PHP2Shell |
| /tmp/nfs | Ruta del archivo | Ubicación en el sistema comprometido donde el exploit PHP2Shell deja la carga útil |
| ./nfs php | Comando | Comando utilizado para ejecutar la carga útil de PHP2Shell |
| php2shell-scan/109618 | User-Agent | Detectado en el tráfico del exploit de PHP2Shell |
| B7kQpoc618 | Cadena | Delimitador multiparte observada en la solicitud del exploit de PHP2Shell |
Las siguientes contramedidas de Sophos se refieren a la actividad relacionada con PHP2Shell:
- UNX-CAC-PRC-PARENT-WGETPHP-DOWNLOAD-1
- UNX-CAC-PRC-PHP-REVERSE-SHELL-1
- WIN-CAC-PSH-WEBCLIENT-UPLOAD-1
- WIN-DIS-PRC-SUSP-WEB-SERVER-1
- WIN-DIS-PRC-SUSP-WEB-SERVER-1-LOW
- WIN-EXE-PRC-PHP-EXE-IN-SUSPICIOUS-USERS-PATH-1-HIGH
- WIN-PER-PRC-WEBSHELL-SPAWN-SUS-PROCESS-1
21 de octubre a las 17:01 UTC: vigilancia de indicios de explotación
Los siguientes comportamientos y cambios pueden indicar que se están aprovechando estas vulnerabilidades:
Sesiones de red que duran más de lo habitual (las aplicaciones que se ejecutan en el servicio PHP deberían tener un patrón estándar de conexiones de red).
Nombres de procesos inusuales (incluidos errores ortográficos en nombres legítimos) o procesos aparentemente legítimos en ubicaciones inesperadas
Tráfico entrante inusual y de bajo volumen procedente de infraestructuras de baja reputación
21 de octubre a las 14:28 UTC: versión revisada del aviso original (publicado aproximadamente a las 12:55 UTC) tras el lanzamiento de actualizaciones y detalles adicionales por parte de PHP
Resumen
El 20 de octubre de 2026, PHP anunció una próxima actualización de seguridad para solucionar dos vulnerabilidades críticas (puntuación CVSS de 9,2).
Fuentes externas identificaron las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619. Según los informes, los problemas afectan a varias versiones de PHP y permiten la ejecución remota de código.
El 21 de octubre, PHP lanzó versiones actualizadas para solucionar estos problemas y afirmó que «todas las instalaciones de PHP que atienden solicitudes web» están en riesgo. Un usuario de la plataforma X afirma haber creado un exploit de prueba de concepto que funciona. A fecha de esta publicación, no se ha informado de ningún caso de explotación activa en el mundo real.
Medidas recomendadas
Los investigadores de Counter Threat Unit™ recomiendan que los clientes identifiquen los sistemas potencialmente vulnerables y los actualicen según corresponda. Mientras tanto, las organizaciones deberían plantearse desconectar de Internet los sistemas que funcionen con PHP y estén expuestos a la red pública, si es posible, o protegerlos con autenticación en la capa de red (p. ej., ZTNA). Además, los responsables de seguridad de la red deberían evaluar el riesgo de explotación en su entorno y vigilar cualquier actividad sospechosa. El aviso sobre PHP enumera medidas de mitigación para las organizaciones que no puedan actualizar de inmediato, pero señala que la actualización es la única solución definitiva.
Contramedidas de Sophos
SophosLabs sigue vigilando el panorama de amenazas en busca de actividad relacionada con estas vulnerabilidades y ofrecerá detecciones y protecciones en cuanto estén disponibles. También se está llevando a cabo una investigación interna para determinar si los productos o servicios de Sophos se ven afectados.