Blog · Análisis de seguridad

PHP2Shell necesita una petición HTTP. OpenNHP nunca la deja llegar.

Los parches y los WAF necesitan conocer el CVE. La invisibilidad no.

NHP
The OpenNHP Team
22 de octubre de 2026 PHP2Shell Seguridad de IA Zero Trust
PHP2Shell de un vistazo
9.2CVSS, RCE sin autenticación
~70%de los sitios web usan PHP (Wiz)
10+ añosfallo en todo PHP desde 5.4
63 díasdel hallazgo al parche

Dos CVE (CVE-2026-109618, CVE-2026-109619) en el propio motor de PHP permiten a un atacante no autenticado ejecutar código o leer la memoria del servidor, sin necesidad de un fallo en la aplicación. Wiz Research los encontró con IA de frontera y mostró exploits funcionales en WordPress, Drupal y Joomla.

El ataque necesita llegar a PHP. OpenNHP lo impide.
SIN OPENNHPAtacanteo escáner de IApetición hostilServidor PHPpuerto 443 públicoRCE sin auth.+ fuga de memoriaCON OPENNHPAtacantesin ID OpenNHPpetición hostilOpenNHP ACeBPF/XDP, descarte✕ DESCARTADO✓ PERMITIDOServidor PHPsin puerto abiertoUsuario legítimoOpenNHP Agentknock OpenNHP
Toda cadena PHP2Shell empieza con una petición no autenticada. Detrás de OpenNHP, esa petición se descarta antes de llegar a PHP.
La carrera del parche
19 agoLa IA halla el fallo24 agoReportado a PHP17 octExplotado en la red21 octParche publicadoSu parche¿días? ¿semanas?Servidor PHP público: vulnerable hasta el parche (fallo de 10+ años)Servidor PHP tras OpenNHP: inalcanzable para peticiones no autenticadas todo el tiempo
Los atacantes tenían el exploit antes de que existiera el parche. Los servidores ocultos no necesitan ganar esa carrera.
Parche vs. WAF vs. OpenNHP
Parchear PHPReglas WAFOpenNHP
Funciona antes de conocerse el CVE✕✕✓
Necesita una firma del exploit—SíNo
Bloquea RCE no autenticada✓ una vez aplicado~ variantes conocidas✓
Bloquea la fuga de memoria✓ una vez aplicado~ variantes conocidas✓
Oculta el servidor a los escáneres✕✕✓
Corrige el fallo en sí✓✕✕

Se complementan: OpenNHP elimina la vía de ataque no autenticada y el parche elimina el fallo. Parchee de todos modos.

Pruebas, no promesas
1.2M+paquetes de ataque descartados en silencio por nuestro servidor protegido desde el 16 oct · en vivo 0hallazgos en hosts protegidos en el Hackathon IETF 126, incl. un atacante de IA
Dónde encaja OpenNHP
✓ Ocultar tras OpenNHP
  • Paneles de administración (/wp-admin, admin de Drupal)
  • Apps PHP internas y back offices
  • API usadas por clientes conocidos
  • Servidores de staging y gestión
Debe seguir público
  • Sitios para visitantes anónimos
  • Parchéelos primero, use reglas WAF
  • Oculte su admin y acceso al origen

Los usuarios autorizados aún pueden llegar a una app oculta, así que OpenNHP reduce quién puede intentar un exploit de «todo Internet» a «las personas que usted aprobó».

Qué hacer ahora
1
Parchear
PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o el paquete corregido de su distribución.
2
Inventariar
Liste los servicios PHP que no necesitan estar expuestos a Internet.
3
Ocultar
Póngalos tras OpenNHP para que el próximo PHP2Shell no tenga nada que alcanzar.
No confíe en nosotros. Intente romperlo en IETF 127.
Nov 14–15 2026
Hackathon IETF 127 · San Francisco
Hilton San Francisco Union Square · Gratis · Participación remota
Traiga sus herramientas de ataque con IA, sus trucos de PHP2Shell y sus escáneres. El reto: llegar a un servidor tras OpenNHP sin autenticarse primero.
Inscríbase gratis → Detalles del reto →
Recursos

Autenticación antes de la conexión.

El próximo PHP2Shell ya está en la cadena de IA de alguien. No le dé nada que alcanzar.

¿Necesita ayuda para ocultar sus servicios PHP? Escríbanos a [email protected].

← Back to OpenNHP.org