#365 – Lidiando con PHP2Shell y otras vulnerabilidades

Síguenos en: Después de esta "Semana fantástica del PHP" creo que a ninguno de vosotros os sorprenderá el tema del episodio de hoy. ¿Qué tal la semana? Semana esther Revisando PHP’s, actualizando y migrando. Semana Nahuai Parcheando el problema de bbPress y los campos personalizados en CPTs (a priori lo solucionarán en la 2.6.21, pero mejor no esperar porque las versiones anteriores tienen vulnerabilidades). Enviando el plugin de carbon.txt, creado en colaboración con GWF, al repositorio de WordPress. Terminando la conversión del diseño, de páginas kilométricas, de Claude Design a bloques. No haciendo los preparativos que quería para el MozFest. Tema de la semana: Breve timeline de PHP2Shell: Agosto de 2026 (Descubrimiento): Investigadores de seguridad descubren las vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) y empiezan a trabajar en el parche. Ambos equipos estaba usando AI para descubrir vulnerabilidades. 17 de octubre de 2026 (Primeros ataques): Amazon detecta el primer intento de explotación en sus sistemas señuelo (honeypots), cuatro días antes de que los detalles fueran públicos. 20 de octubre de 2026 (Filtración): Se filtran detalles de la vulnerabilidad en foros, lo que obliga a los desarrolladores de PHP a adelantar el lanzamiento del parche. 21 de octubre de 2026 (Lanzamiento del parche): PHP lanza las versiones corregidas de emergencia (8.5.12, 8.4.27, 8.3.36 y 8.2.35). 21 de octubre de 2026 en adelante (Explotación masiva): Tras la publicación del parche, los atacantes aplican ingeniería inversa rápidamente y comienzan los ataques masivos en internet. Enlaces relacionados: https://www.php.net/archive/2026.php https://cert.europa.eu/publications/security-advisories/2026-018 Otras brechas de seguridad recientes en el entorno de WordPress: Rank Math Confirms System Breach Delivered Malware to Several Hundred PRO Customers Attacker Uses Stolen UpdraftCentral Keys to Backdoor WordPress Sites After TeamUpdraft Breach Novedades Se decide añadir el adaptador MCP al core de WordPress: https://www.therepository.email/wordpress-ai-team-moves-to-make-mcp-a-default-part-of-wordpress-with-7-3-floated-as-a-target Tip de la semana Haz una auditoría de seguridad a tus webs y la de tus clientes.