#365 – Lidiando con PHP2Shell y otras vulnerabilidades

Freelandev - Vivir del desarrollo en WordPress

#365 - Lidiando con PHP2Shell y otras vulnerabilidades

00:00 / 37:55

Síguenos en:

Después de esta «Semana fantástica del PHP» creo que a ninguno de vosotros os sorprenderá el tema del episodio de hoy.

¿Qué tal la semana?

Revisando PHP’s, actualizando y migrando.

Parcheando el problema de bbPress y los campos personalizados en CPTs (a priori lo solucionarán en la 2.6.21, pero mejor no esperar porque las versiones anteriores tienen vulnerabilidades).
Enviando el plugin de carbon.txt, creado en colaboración con GWF, al repositorio de WordPress.
Terminando la conversión del diseño, de páginas kilométricas, de Claude Design a bloques.
No haciendo los preparativos que quería para el MozFest.

Breve timeline de PHP2Shell:

Agosto de 2026 (Descubrimiento): Investigadores de seguridad descubren las vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) y empiezan a trabajar en el parche. Ambos equipos estaba usando AI para descubrir vulnerabilidades.
17 de octubre de 2026 (Primeros ataques): Amazon detecta el primer intento de explotación en sus sistemas señuelo (honeypots), cuatro días antes de que los detalles fueran públicos.
20 de octubre de 2026 (Filtración): Se filtran detalles de la vulnerabilidad en foros, lo que obliga a los desarrolladores de PHP a adelantar el lanzamiento del parche.
21 de octubre de 2026 (Lanzamiento del parche): PHP lanza las versiones corregidas de emergencia (8.5.12, 8.4.27, 8.3.36 y 8.2.35).
21 de octubre de 2026 en adelante (Explotación masiva): Tras la publicación del parche, los atacantes aplican ingeniería inversa rápidamente y comienzan los ataques masivos en internet.

Enlaces relacionados:

Otras brechas de seguridad recientes en el entorno de WordPress:

Se decide añadir el adaptador MCP al core de WordPress:

Haz una auditoría de seguridad a tus webs y la de tus clientes.