Cloudflare desplegó protecciones contra las dos vulnerabilidades críticas de PHP conocidas como PHP2Shell unas nueve horas antes de que se hicieran públicas, y desde el 21 de octubre a las 3:02 UTC todos sus clientes con cortafuegos de aplicaciones web, incluidos los del plan gratuito, están protegidos por defecto.

Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, afectan a todos los servidores web que ejecutan PHP 5.4 o posterior y permiten denegación de servicio, ejecución remota de código y exposición de datos cuando la aplicación procesa tráfico HTTP manipulado.

La compañía explicó que trabajó en coordinación con otros actores para mitigar el problema y que venía desarrollando reglas desde principios de octubre. La filtración del fallo antes de la fecha oficial obligó a acelerar el despliegue.

Cloudflare observó tráfico de ataque dirigido a sus clientes y detectó cómo los atacantes mutaban las cargas maliciosas para intentar evadir las reglas, ajustando las protecciones a medida que aparecían variantes.

Protegerse contra PHP2Shell exigió más que reglas basadas en la petición. Los datos de la solicitud no siempre bastan para distinguir un exploit de tráfico legítimo, así que la empresa desarrolló una capacidad nueva llamada detección de transacción completa, que combina señales de la petición y de la respuesta dentro de la misma transacción HTTP.

Con ese mecanismo, las reglas pueden bloquear una respuesta del servidor de origen antes de que llegue al solicitante. Las protecciones de PHP2Shell son las primeras detecciones gestionadas que Cloudflare publica con esta tecnología.

La empresa insistió en que el cortafuegos es una capa adicional y no sustituye al parcheo: los administradores deben actualizar sus instalaciones de PHP. Los analistas siguen monitorizando la actividad y actualizarán las reglas si surgen nuevas técnicas.

El episodio confirma una tendencia incómoda para la industria: las vulnerabilidades críticas se conocen y se explotan antes de que exista un parche público. En este caso hubo intentos de explotación días antes de la divulgación, según análisis de terceros.

PHP sostiene buena parte de la web, desde WordPress hasta sistemas de gestión empresarial, lo que explica la urgencia. Las versiones con soporte oficial de parche son PHP 8.2 y posteriores, de modo que las instalaciones antiguas dependen de terceros o de mitigaciones perimetrales.

Cloudflare recomienda revisar los registros de los últimos días en busca de intentos de explotación, aplicar las actualizaciones disponibles y mantener las defensas del cortafuegos activas mientras se completa la migración.

Fuentes
Cloudflare
PHP.net

Crédito de la imagen: Sala de servidores. Fotografía de Tyler G., vía Unsplash