RealRisk calcula el riesgo inherente: severidad, probabilidad de explotación y si hay explotación confirmada, sin conocer tu entorno. Para saber si te afecta de verdad, usa el verificador cuando esté disponible. El riesgo residual, con tu exposición y tus controles, lo determinas tú.
| Recomendación | ⚪ Monitorear Probabilidad de explotación baja: EPSS no disponible. Sin explotación activa confirmada. |
|---|---|
| Severidad de riesgo | Crítica (QDS 92/100) Sin dato de EPSS: se usa el CVSS base sin ajuste. |
| Severidad inherente | Crítica (del CVSS base) |
| CVSS | 9.2 (versión 4.0, Crítica) CVSS 9.8 (versión 3.1) |
| Probabilidad de explotación (30 días) | Sin datos disponibles |
| ¿Explotación activa confirmada? | Sin evidencia confirmada |
Determina la versión de PHP del objetivo y la compara con las builds corregidas (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12). En modo local inspecciona cada intérprete (CLI, php-fpm y el módulo de Apache por dpkg) y lee session.upload_progress.enabled; en modo remoto lee la versión del header X-Powered-By/Server con un GET. No gatilla el UAF.
Estado de la amenaza análisis
Impacto de la explotación
Un atacante anónimo, sin credenciales ni interacción del usuario, puede ejecutar código arbitrario en el servidor o leer la memoria del proceso perteneciente a otras peticiones (claves, tokens de sesión, datos de usuarios), tomando control del sitio de forma independiente de la aplicación que corra encima.
Análisis de la vulnerabilidad
| Requisitos de explotación | Solo acceso de red al servicio web. La condición se cumple con la configuración de fábrica (progreso de subida de sesión activo) y que el servidor acepte subidas multiparte. El mayor riesgo es con mod_php sobre Apache. |
|---|---|
| Sistemas y software afectados | Todas las instalaciones de PHP que atienden peticiones web anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12, en cualquier SAPI (mod_php de Apache, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed). Las ramas sin soporte 8.1, 8.0 y 7.4 también están afectadas. |
| Cómo funciona el ataque | El servidor guarda el progreso de las subidas en un archivo de sesión que PHP deserializa antes de ejecutar cualquier script. Un error de manejo deja punteros internos apuntando a memoria ya liberada, y una petición posterior sobre el mismo proceso reutiliza esa memoria, lo que el atacante aprovecha para ejecutar código o leer datos de otras peticiones. |
| Información de parchado | El equipo de PHP publicó parches el 21 de octubre de 2026 en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, disponibles en php.net y en los repositorios de las distribuciones. Actualizar es la única solución completa; las mitigaciones de configuración son parciales. |
Detalles técnicos
| Fecha de publicación | 21/10/2026 |
|---|---|
| Última actualización | 21/10/2026 |
| Vector CVSS | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| Clasificación CWE |
CWE-416: Use After Free CWE-755: Improper Handling of Exceptional Conditions CWE-824: Access of Uninitialized Pointer CWE-1325: Improperly Controlled Sequential Memory Allocation |
Inteligencia de amenaza
| Actores / campañas atribuidas | Sin campañas atribuidas conocidas. |
|---|---|
| Indicadores de compromiso (IOCs) | Sin IOCs públicos conocidos. |
Referencias técnicas
- GitHub https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- openwall.com http://www.openwall.com/lists/oss-security/2026/10/21/6
- wiz.io https://www.wiz.io/blog/php2shell-php-rce