Insignary lanza la herramienta gratuita Insignary-Chk para detectar la exposición a PHP2Shell y Node2Shell.

Un escáner gratuito de solo lectura ayuda a las organizaciones a encontrar servidores Linux e imágenes de contenedores expuestos a dos vulnerabilidades de PHP y Node.js que se explotan activamente.

Insignary, una empresa global de seguridad de código abierto, lanzó hoy insignary-chk, una herramienta gratuita que busca PHP2Shell y Node2Shell, dos vulnerabilidades de tiempo de ejecución recientemente descubiertas que afectan a PHP y Node.js.

PHP2Shell se refiere a dos vulnerabilidades en el entorno de ejecución de PHP (CVE-2026-109618 y CVE-2026-109619), cada una con una calificación de 9.2 (Crítica) según CVSS v4.0, que permiten a un atacante no autenticado ejecutar código de forma remota.

Los servidores que gestionan solicitudes web con PHP están en riesgo, incluyendo las implementaciones que utilizan Apache mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.

El Proyecto PHP publicó correcciones el 21 de octubre de 2026 para PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y versiones anteriores han llegado al final de su ciclo de vida y ya no reciben actualizaciones oficiales.

Dado que las vulnerabilidades residen en el entorno de ejecución y no en el código de la aplicación, la revisión del código por sí sola no puede detectarlas. Por lo tanto, las organizaciones también deben buscar instancias de PHP incluidas en el software de proveedores y en las imágenes de contenedores.

Node2Shell (CVE-2026-111497) es una vulnerabilidad de escritura fuera de límites en la biblioteca de descompresión Brotli de Google, que Node.js incluye. Datos comprimidos especialmente diseñados pueden provocar el fallo de una aplicación afectada, exponer su memoria o permitir la ejecución remota de código.

El problema se ha solucionado en Node.js 22.23.4, 24.22.1 y 26.12.1. La política oficial de fin de vida útil de Node.js considera que cualquier rama sin soporte (por ejemplo, la 20.x y anteriores) conlleva un riesgo continuo una vez finalizado el soporte, ya que no se publican más correcciones de seguridad.

insignary-chk refleja esto por diseño: no marca las ramas que han llegado al final de su vida útil, como Node.js 20.x, como "Probablemente vulnerables"; en su lugar, las muestra como "Consultar con el proveedor del sistema operativo" cuando se instalan desde un paquete de distribución de Linux, o como "Imposible de determinar" cuando se instalan desde nodejs.org o se compilan desde el código fuente, para que los administradores puedan verificar el estado real de los parches con su proveedor o actualizar a una versión compatible.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido PHP2Shell y Node2Shell a su catálogo de Vulnerabilidades Explotadas Conocidas.

insignary-chk es un único archivo que no requiere instalación ni registro. Por defecto, es de solo lectura: solo lee archivos, nunca ejecuta lo que encuentra y no realiza cambios a menos que el usuario seleccione la opción --fix.

No envía datos a través de la red, excepto cuando el usuario selecciona una opción que se conecta a una dirección específica.

Dado que Node2Shell se basa en la biblioteca Brotli, insignary-chk también verifica las copias de Brotli fuera de Node.js, incluyendo la biblioteca Brotli del sistema y el paquete brotli de Python.

Las versiones de PHP que han llegado al final de su ciclo de vida también se marcan para su revisión según el aviso de seguridad de la distribución de Linux o para su actualización a una versión compatible.

Los resultados se clasifican por prioridad, de modo que los equipos pueden ver de un vistazo qué problemas requieren atención urgente.