PHP2Shell, el RCE crítico de PHP (CVE-2026-109618 y CVE-2026-109619)

Wed, 21 Oct 2026 00:00:00 +0000

Hoy, 21 de octubre de 2026, PHP ha sacado parches de emergencia para una pareja de fallos que llevaban catorce años en el código y que mucha gente va a recordar una temporada. Se llaman PHP2Shell, son CVE-2026-109618 y CVE-2026-109619, y permiten ejecución remota de código sin autenticarse contra un montón de servidores PHP. No es un bug de un plugin ni de un framework, está en el propio núcleo de PHP, así que la superficie es enorme.

Eloquia WriteUp

Sat, 17 Oct 2026 00:00:00 +0000

Eloquia es una máquina de dificultad ⬛ Insane de Hack The Box que, a diferencia de otras Insane muy cargadas de Active Directory, es casi puro web + Windows. El punto de entrada es un CSTI de AngularJS 1.8.2 en un blog hecho con Django, que permite ejecutar JavaScript en el navegador del administrador y robar su sesión. Desde ahí se abusa de django-sql-explorer para conseguir ejecución remota con load_extension(), se descifran credenciales del navegador Edge vía DPAPI, y se termina con una inyección de AppDomainManager en un servicio .NET que corre como SYSTEM.

Web & Windows on Hackpuntes

PHP2Shell, el RCE crítico de PHP (CVE-2026-109618 y CVE-2026-109619)

Eloquia WriteUp