PHP2Shell en WordPress: ejecución remota de código en 7 segundos
WordPress es hoy el gestor de contenidos más extendido del mundo y, precisamente por eso, se ha convertido en uno de los blancos más afectados por PHP2Shell.
En este vídeo de demostración muestro cómo explotar la vulnerabilidad PHP2Shell (CVE-2026-109618) dentro de un entorno controlado para lograr ejecución remota de código (RCE) sin necesidad de autenticación.
Si quieres replicar la prueba en tu propio laboratorio, puedes encontrar todos los recursos necesarios en GitHub, en el repositorio mefulton/CVE-2026-109618-analysis.
¿Sobre qué otro sistema desarrollado en PHP te gustaría ver una demo de PHP2Shell?
PHP2Shell en WordPress: RCE sin autenticación en menos de 7 segundos
Resumen técnico
La vulnerabilidad CVE-2026-109618, conocida como PHP2Shell, permite ejecutar código remoto (RCE) en instalaciones WordPress sin necesidad de autenticación previa. El vector de ataque aprovecha el procesamiento inseguro de parámetros en el intérprete PHP, permitiendo inyectar instrucciones directamente en el servidor. La explotación completa se demuestra en menos de 7 segundos en entorno controlado. El repositorio público mefulton/CVE-2026-109618-analysis en GitHub incluye todos los recursos necesarios para reproducir la prueba en laboratorio propio. WordPress representa más del 43% de todos los sitios web activos, lo que amplifica exponencialmente la superficie de ataque.
Análisis de implicaciones
Un RCE sin autenticación coloca al atacante con control total sobre el servidor comprometido desde el primer contacto. Esto invalida cualquier control perimetral basado únicamente en autenticación de capa de aplicación. Los equipos de Blue Team deben revisar sus reglas de detección en WAF y SIEM para identificar patrones de explotación de PHP2Shell. La ausencia de credenciales como requisito elimina el factor humano como barrera de contención, convirtiendo cada instancia WordPress desactualizada en un objetivo inmediato y trivialmente explotable.
Aplicación práctica
En ejercicios de pentesting y red team, PHP2Shell puede integrarse en fases de reconocimiento activo contra entornos WordPress para validar exposición real. Los equipos de seguridad deben ejecutar análisis con herramientas como WPScan o Nuclei para detectar versiones vulnerables antes de que lo haga un atacante. La mitigación inmediata pasa por actualizar el intérprete PHP a una versión parcheada, aplicar reglas específicas en el WAF y deshabilitar funciones peligrosas como eval(), system() y exec() en la configuración de php.ini.
Contexto del sector
Las vulnerabilidades de tipo RCE sin autenticación en CMS de alto uso han marcado los últimos ciclos de amenazas críticas. PHP2Shell sigue la línea de vulnerabilidades anteriores como CVE-2019-8942 en WordPress o fallos en Drupal (Drupalgeddon). Con el ecosistema PHP presente en millones de aplicaciones web legacy y activas, el tiempo de exposición entre divulgación y explotación masiva se reduce a horas. La gestión proactiva del ciclo de vida de dependencias es ahora una necesidad operativa, no opcional.
