En resumen: PHP no funciona solo en servidores web, sino también en las interfaces web de sistemas NAS, cortafuegos y equipos especializados, o en paquetes de servidor web que usted haya instalado en un NAS. Si un dispositivo está afectado por PHP2Shell solo puede decirlo el fabricante; la actualización llega mediante el firmware. Su tarea es localizar esos dispositivos, sacar sus interfaces web de Internet y seguir los avisos del fabricante.
Por qué los dispositivos con interfaz web forman parte de la cuestión de PHP
Cuando se habla de PHP2Shell, la mayoría piensa en el sitio web de la empresa o en la tienda en línea. Sin embargo, PHP también está en dispositivos que nadie considera servidores web. Están en la sala de servidores o en la oficina, tienen una interfaz web de administración y a menudo funcionan años sin atención.
Según php.net, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 afectan a PHP en los modos de funcionamiento PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Si la interfaz web de un dispositivo usa uno de esos modos con una versión vulnerable, el riesgo es el mismo allí. La diferencia: por lo general, no puede actualizar PHP en el dispositivo usted mismo.
Que estos sistemas se olviden tiene razones concretas. A menudo los configuró un proveedor de servicios que hace tiempo que no los atiende. Las actualizaciones de firmware no se ejecutan automáticamente, sino que exigen un clic que nadie hace. Y algunos dispositivos traen cómodas funciones de acceso remoto que hacen accesible la interfaz web desde Internet sin que TI lo sepa. Con una vulnerabilidad de PHP como PHP2Shell, esa comodidad se convierte en un riesgo.
Vulnerabilidad de PHP en NAS y appliances: qué sistemas entran en consideración
Aquí nombramos tipos de dispositivo, sin afirmar nada sobre modelos concretos. Si un firmware determinado está afectado consta exclusivamente en los avisos del fabricante.
| Tipo de dispositivo | Cómo interviene PHP | Quién actualiza |
|---|---|---|
| NAS con paquete de servidor web | Usted opera sitios web o aplicaciones PHP propios en el NAS | El fabricante entrega el paquete de PHP, usted lo instala |
| Distribuciones de cortafuegos y routers | Partes de la interfaz de administración están escritas en PHP | Fabricante mediante firmware |
| Equipos especializados con interfaz web | p. ej. centralitas telefónicas, control horario, domótica de edificios, si el fabricante usa PHP | Fabricante o distribuidor especializado |
| Appliances virtuales | VM preconfiguradas con interfaz web propia | Fabricante mediante imagen de actualización |
| Contenedores en el NAS | Aplicaciones PHP en contenedores Docker | Usted, mediante una imagen nueva |
Dos ejemplos documentados: Synology permite operar en Web Station sitios web PHP con perfiles de PHP seleccionables y ha anunciado el fin del soporte para PHP 7.3, 7.4 y 8.0 en DSM 7.3. Los avisos de seguridad de Netgate sobre pfSense describen archivos PHP y mensajes de error de PHP de la interfaz web. Eso solo muestra que PHP aparece allí, no que estos productos estén afectados por PHP2Shell.
Inventario: cómo encontrar los sistemas olvidados
El paso más importante es una lista. Muchas empresas saben exactamente qué sitios web operan, pero no qué dispositivos tienen interfaz web. Cómo es un inventario permanente lo describe el artículo Inventario de todos los sitios web y servidores.
- Registrar la red: reunir los dispositivos de la lista DHCP y de la vista general del switch o del cortafuegos.
- Marcar las interfaces web: anotar en cada dispositivo si se administra mediante HTTP o HTTPS.
- Revisar las exposiciones: enumerar las redirecciones de puertos y los servicios de acceso remoto en el router. Toda interfaz web accesible desde Internet pasa al primer puesto.
- Asignar el fabricante: anotar modelo, nivel de firmware y enlace a los avisos de seguridad del fabricante.
- Registrar los servicios propios: enumerar aparte los paquetes de servidor web y contenedores instalados en sistemas NAS.
Un primer indicio puede obtenerse con una consulta inofensiva de las cabeceras. El comando solo solicita la página de inicio y no modifica nada:
# Mostrar las cabeceras del servidor de una interfaz web (dirección como ejemplo)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Si allí figura una referencia a PHP, es un indicio. Si falta, no prueba nada, porque muchos dispositivos suprimen esos datos a propósito.
Qué puede hacer si no puede parchear usted mismo
En los dispositivos, el parche corresponde al fabricante. La accesibilidad corresponde a usted, y justo ahí está la mayor palanca. El BSI (Oficina Federal Alemana de Seguridad de la Información) recomienda ante PHP2Shell retirar temporalmente de la red los servidores web sin actualizar; para las interfaces de administración de dispositivos, esto vale por analogía con más razón.
- Sacar de Internet: eliminar las redirecciones de puertos hacia interfaces web y permitir el acceso remoto solo mediante VPN.
- Separar la red de administración: hacer accesibles las interfaces web solo desde un segmento de red propio para administradores. Los antecedentes figuran en el artículo Blindar las áreas de administración.
- Apagar lo que no se usa: desactivar los paquetes de servidor web o las apps del NAS que ya nadie necesita.
- Seguir los avisos de firmware: activar las notificaciones de actualización y aplicar las actualizaciones pronto, en cuanto el fabricante las libere.
- Sustituir dispositivos antiguos: no seguir operando dispositivos sin soporte del fabricante accesibles desde Internet y planificar su sustitución.
Si opera sitios web PHP propios en un NAS, para ellos vale lo mismo que para cualquier servidor web: comprobar la versión, actualizar el paquete, reiniciar el servicio. Los fundamentos de la vulnerabilidad los explica ¿Qué es PHP2Shell?.
Si un dispositivo estuvo abierto en la red
Si una interfaz web fue accesible desde Internet entre el 17 y el 21 de octubre y el dispositivo está afectado, no debería limitarse a actualizarlo. Compruebe si se modificaron cuentas, recursos compartidos o reenvíos, asegure los registros disponibles y cambie las credenciales. Un dispositivo que ha tenido a un atacante en la red puede servir de trampolín hacia otros sistemas.
En cortafuegos y routers esto es especialmente delicado, porque ven todo el tráfico de datos. En caso de duda, restablecer los ajustes de fábrica con una reconfiguración limpia es más fiable que buscar huellas sueltas; antes deberían haberse asegurado los registros y la configuración.
En un NAS se añade la cuestión de los datos. Allí suele haber contratos, documentación de personal o datos de clientes. Si un atacante pudo acceder al dispositivo, debe aclarar si pueden verse afectados datos personales; entonces puede existir una obligación de notificación según el RGPD. Consúltelo pronto con su delegado de protección de datos; esto no es asesoramiento jurídico.
¿Cómo ayuda PHP SOS en concreto?
- Recoger el inventario: registramos con usted todos los sistemas con interfaz web, también NAS, appliances y máquinas virtuales.
- Comprobar la accesibilidad: comprobamos desde fuera qué interfaces son accesibles desde Internet y proponemos blindajes. Una revisión más profunda la ofrece la auditoría de seguridad con prueba de penetración.
- Seguir la situación de los fabricantes: asignamos los avisos de seguridad de los fabricantes a sus dispositivos y planificamos las actualizaciones.
- Aclarar sospechas: si un dispositivo afectado estuvo abierto en la red, aseguramos los registros y buscamos huellas.
Preguntas frecuentes
¿Está mi NAS afectado por PHP2Shell?
Solo el fabricante puede decirlo de forma vinculante para su modelo y su firmware. Consulte sus avisos de seguridad y si usted mismo opera sitios web PHP en el NAS, por ejemplo mediante un paquete de servidor web. Hasta aclararlo, la interfaz no debería ser accesible desde Internet.
¿Puedo actualizar yo mismo PHP en un NAS o un cortafuegos?
Por lo general, no. Allí PHP forma parte del firmware o de un paquete del fabricante. Las actualizaciones llegan mediante la función de actualización del dispositivo. Las intervenciones manuales en el firmware pueden poner en peligro la garantía y la estabilidad.
¿Basta con usar la interfaz web solo en la red local?
Reduce el riesgo de forma notable, pero no lo elimina. Un equipo ya comprometido de la misma red puede seguir accediendo a la interfaz. Es mejor una red de administración propia o el acceso solo mediante VPN.
¿Cómo reconozco que un dispositivo usa PHP?
A veces lo delata la cabecera del servidor o la terminación .php en las direcciones de la interfaz. Que no haya tales indicios no prueba nada. Son fiables la documentación del fabricante y los avisos de seguridad.