Análisis Profundo y Explotación de la Vulnerabilidad PHP2Shell (CVE-2026-109618 / CVE-2026-109619)

Fase 1: Prospección y Moldeo de la Solicitud (Payload Crafting)

El atacante envía una petición HTTP POST estructurada con cabeceras específicas y un cuerpo multipartes (multipart/form-data) diseñado con una distribución de tamaño idónea para sobrepasar el umbral de asignación de memoria sin sobrepasar las restricciones de capa de red.

Fase 2: Inducción de Excepción OOM

El motor PHP recibe la petición y comienza la reserva de buffers. Al procesar las estructuras de datos maliciosas, el intérprete agota el espacio asignado por el Zend Allocator, abortandoabruptamente el procesamiento e ingresando a las rutinas de desasignación de emergencia.

Fase 3: Corrupción del Heap y Punteros Huérfanos

Las rutinas de destrucción de variables destructuran la memoria en orden inverso. Al encontrar estructuras no inicializadas correctamente, el puntero de control de memoria es sobrescrito con valores inyectados por el atacante dentro del cuerpo de la petición HTTP.

Fase 4: Reutilización de Proceso (Process Hijacking)

El subproceso o thread afectado no finaliza de forma limpia. Al recibir la siguiente interacción, el hilo invoca la dirección de memoria sobrescrita buscando punteros de funciones nativas de C (por ejemplo, zend_execute_ex o execve).

Fase 5: Ejecución Remota de Código (RCE)

El atacante obtiene ejecución directa de comandos con los privilegios del usuario bajo el cual corre el servicio web (e.g., www-data, apache o nginx). Desde este punto, el atacante puede establecer una reverse shell, realizar movimiento lateral o comprometer bases de datos asociadas.

4. Particularidades de Entorno: mod_php vs. PHP-FPM

• Módulos integrados (mod_php en Apache HTTPD): Representa el escenario de mayor peligro. Dado que PHP comparte el mismo espacio de direcciones que el proceso maestro o hijo de Apache, la explotación ocurre de forma previa a la ejecución de cualquier script .php alojado en el servidor. Un atacante puede explotar la vulnerabilidad atacando cualquier URL válida o inexistente que sea procesada por el módulo.

• Procesadores independientes (PHP-FPM / FastCGI): Aunque la segregación de procesos aísla el servidor web principal (Nginx/Apache), los trabajadores de PHP-FPM sufren la misma condición de persistencia en los pools, lo que permite el secuestro del proceso worker y el compromiso de la aplicación.

5. Indicadores de Compromiso (IoCs) y Métodos de Detección

Los equipos de SOC y administradores de infraestructura de REDTISEG deben monitorear los siguientes eventos en sus sistemas de supervisión:

1. Registros de Servidor Web (Access & Error Logs):

   • Ráfagas inusuales de peticiones POST de gran volumen que resultan en respuestas con código de estado HTTP 500 (Internal Server Error).

   • Mensajes en logs de error del tipo: child process XXXX exited on signal 11 (SIGSEGV) o Zend MM Heap Corrupted.

2. Anomalías de Memoria y Core Dumps:

   • Registros de consumo de memoria con picos abruptos y caídas repentinas de procesos php-fpm o httpd.

   • Generación imprevista de archivos core dump en el directorio del servidor web.

3. Firmas de Red / Inspección de Tráfico WAF:

   • Peticiones HTTP con encabezados Content-Length atípicos combinados con un número elevado de variables form-data con nombres repetitivos o extremadamente largos.

6. Matriz de Versiones y Hoja de Ruta de Mitigación

No existe ninguna configuración del archivo php.ini ni regla de entorno que neutralice completamente el fallo sin actualizar los binarios del motor de PHP. La remediación definitiva requiere la sustitución de las librerías vulnerables.