Por Canuto  

Cloudflare afirma que sus reglas WAF ya mitigan por defecto dos fallas de PHP, pero advierte que la protección no sustituye la actualización del entorno de ejecución.
***

  • Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 podrían permitir ejecución remota de código, exposición de datos o denegación de servicio.
  • Cloudflare dice que activó mitigaciones para sus clientes con WAF el 21 de octubre de 2026, antes del anuncio oficial de PHP previsto para el día siguiente.
  • La compañía recomienda aplicar los parches de PHP cuando estén disponibles y mantener el firewall habilitado como defensa adicional.

Cloudflare activa defensas contra dos fallas críticas de PHP

Una vulnerabilidad en el entorno de ejecución

Cloudflare anunció protecciones para dos vulnerabilidades de PHP conocidas como php2shell, identificadas como CVE-2026-109618 y CVE-2026-109619. Según la compañía, las fallas podrían permitir denegación de servicio, exposición de datos o ejecución remota de código si una aplicación procesa solicitudes HTTP especialmente diseñadas. Cloudflare afirma que sus clientes con el firewall de aplicaciones web, tanto en planes gratuitos como de pago, quedaron protegidos por defecto.

Las versiones de PHP afectadas aún no se habían publicado. La firma de seguridad Huntress indicó que PHP preparaba parches de emergencia y que todavía no había divulgado la lista de versiones afectadas; CERT-EU también informó que la fundación PHP había anunciado una próxima actualización de seguridad para corregir dos vulnerabilidades críticas. Según Huntress, la publicación oficial de los parches se esperaba para el 22 de octubre de 2026. Por ello, los administradores deben consultar el aviso del proyecto PHP para confirmar qué versiones actualizar y seguir sus instrucciones.

PHP es una tecnología que, de acuerdo con Cloudflare, utiliza casi el 70% de los sitios web. También sustenta plataformas ampliamente extendidas, entre ellas WordPress y Magento, por lo que un problema en el propio entorno de ejecución puede alcanzar a numerosas aplicaciones, aunque el código del sitio o sus complementos no tengan una falla específica. Ese alcance potencial convierte las actualizaciones del software PHP en una tarea relevante para administradores y proveedores de alojamiento.

Las vulnerabilidades tienen relación con el manejo de memoria durante el procesamiento de solicitudes HTTP. En condiciones normales, PHP reserva memoria para atender una solicitud y la libera cuando termina; el problema aparece cuando un error interrumpe ese flujo y el sistema intenta utilizar datos internos que no quedaron correctamente preparados o referencias a memoria que ya liberó.

Una petición especialmente construida puede provocar esas condiciones, y las solicitudes grandes pueden ejercer presión sobre la memoria, aunque Cloudflare advierte que el riesgo no se limita al consumo de recursos. Si el atacante manipula los datos que PHP encuentra en memoria inválida, el proceso podría bloquearse, revelar información sensible o ejecutar código controlado por el atacante. La firma atribuye esos efectos posibles al modo en que el entorno de ejecución gestiona los errores.

Qué cambia entre las dos fallas

La CVE-2026-109618 ocurre cuando PHP se queda sin memoria e interrumpe el trabajo antes de inicializar correctamente algunos datos internos. Durante la limpieza de la solicitud, el programa puede tratar esos datos incompletos como si fueran válidos, lo que abre una vía para provocar fallos o consecuencias más graves, según la forma en que se manipule el proceso.

En la CVE-2026-109619, el desencadenante es un error fatal que interrumpe una solicitud y deja referencias a memoria que se libera al terminarla. Si el mismo proceso de PHP atiende otra petición posteriormente, podría seguir esas referencias obsoletas y acceder a memoria que ya no es válida. Cloudflare señala que esa condición puede exponer datos sensibles.

Como los defectos están en el entorno de ejecución, actualizar únicamente el código de un sitio o sus complementos no corrige el problema. Los administradores deben actualizar el software PHP utilizado por sus aplicaciones cuando estén disponibles las versiones corregidas y, cuando el proveedor de alojamiento lo gestiona, solicitar que aplique la actualización de seguridad correspondiente. Cloudflare recomienda consultar el aviso de PHP para revisar las versiones afectadas y las instrucciones de corrección.

La compañía también sugiere mantener habilitadas las protecciones WAF durante la actualización y restringir las cargas de archivos que no sean necesarias, además de limitar sus tamaños cuando corresponda. Presenta esas medidas como formas de reducir la exposición, no como sustitutos del parche: la corrección definitiva requiere actualizar PHP. Esta distinción es importante porque el firewall puede filtrar tráfico malicioso, pero no cambia el código vulnerable que opera en el servidor.

Mitigaciones del WAF y medidas para clientes

Cloudflare indicó que comenzó a desarrollar y desplegar las protecciones a principios de octubre de 2026 y que estas estuvieron activas antes de la divulgación oficial de PHP, que se esperaba para el 22 de octubre. La compañía situó la cobertura por defecto de sus clientes con WAF gratuito o de pago a las 3:02 a. m. UTC del 21 de octubre de 2026. También informó que implementó mitigaciones mientras la vulnerabilidad se filtraba antes de la fecha oficial y que observó tráfico de ataque dirigido a sus clientes.

La empresa explicó que algunos atacantes modificaban las cargas útiles para intentar eludir las defensas, mientras sus analistas observaban el volumen de coincidencias y lo contrastaban con la lógica de las reglas. Para responder a ese desafío, desarrolló una capacidad llamada detección completa de transacciones, que analiza señales tanto de la solicitud como de la respuesta dentro de una misma transacción HTTP. Una regla puede bloquear la respuesta del servidor de origen antes de que llegue a quien hizo la petición.

Cloudflare sostuvo que mirar solo la solicitud no siempre basta para distinguir un intento de explotación del tráfico legítimo, mientras que la respuesta del servidor aporta contexto sobre si el ataque pudo tener éxito y puede reducir falsos positivos. La compañía presentó las protecciones de php2shell como las primeras detecciones gestionadas que utilizan esa capacidad. Para los usuarios gratuitos, las reglas forman parte del conjunto gratuito administrado, identificado con el ID 77454fe2d30c4220b5701f6fdfb893ba, y no requieren acciones para habilitarse.

En el conjunto gratuito, las siete reglas Generic Rules – Anomalous Execution tienen estos identificadores: 4e315666e8e344cdb64119a3b5ccf32f, 00c10e6cc4da4bd08722adeebcd95984, 48ddf592361e4fdb97a8a85982dab691, 3556683d512a47f2937899c524b1a4c6, da07c85852e34625bb478496302ede46, 19373a83abb840e18ab3ce5a7975ce1b y 07f0b6ddaabf40b1b2042dade8d613fa. La protección de pago utiliza el conjunto administrado con ID efb7b8c949ac4650a09736fc376e9aee y siete reglas equivalentes: c1d409ad838f47f59446f21cc438d5dd, f9a45927414245e3a64bb12d0a0c2f64, 771c654ae1154d4daa72f4e1545d163c, 217005865f0145f392300bac212afcc9, 38efdb17ea594501bb55a1d71867b12e, 4148ae686fdb4d01be673fab9d9c073d y 1389aa259617437392ce149c48143645.

Para quienes tienen planes Professional, Business o Enterprise, Cloudflare pide comprobar que el conjunto administrado esté en modo de bloqueo. Además, implementó en el Firewall de Respuesta Predeterminado Gestionado una regla disponible en todos los planes, también los gratuitos: “Bloqueo predeterminado para Firmas de Alta Confianza”, con ID afffe22785674c80a31875c848d2242a; la compañía indicó que actualizaría pronto las descripciones de las reglas.

Los clientes pueden revisar solicitudes bloqueadas en Seguridad, Analíticas de seguridad y Eventos, filtrando por los identificadores de las reglas para consultar la solicitud coincidente, la acción y la ruta. Los registros también indican si la acción provino de una regla administrada o personalizada, y quienes necesiten adaptar la protección pueden limitar el alcance del conjunto administrado a las partes pertinentes de su aplicación. Cloudflare afirma que sus analistas seguirán vigilando la actividad y ajustarán las reglas ante nuevas técnicas o variaciones.

La protección del WAF añade una capa de defensa, pero la recomendación central de Cloudflare sigue siendo instalar las actualizaciones de seguridad de PHP tan pronto como estén disponibles y conservar el firewall habilitado mientras tanto. La empresa señaló que las nuevas reglas se implementan automáticamente en los planes que cuentan con WAF, incluidos los gratuitos, y que los usuarios pueden consultar el registro de cambios para seguir las modificaciones. En otras palabras, el filtrado reduce el riesgo inmediato, pero no elimina la necesidad de corregir el software vulnerable.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados