Dos horas de una web PHP a los hashes del dominio
El 21 de octubre de 2026 CISA pidió algo que no se escribe a la ligera: quien no pueda parchear PHP de inmediato, o siga en 8.1 o anterior, que retire de la red sus sistemas basados en PHP. Son CVE-2026-109618 y CVE-2026-109619, ambas con 9,2 de CVSS v4.0, y los detalles se filtraron antes de que existiera el parche. Pero lo que nos interesa no es la puerta: en el caso que documenta Unit 42 contra una entidad gubernamental europea pasaron dos horas entre la entrada y los hashes de contraseñas, los secretos de MFA y un túnel NTLM hacia el Active Directory. Ese camino no lo abrió PHP. Con la tabla de ramas, las mitigaciones que no mitigan y la comprobación de veinte minutos.
Microsoft 365
ES 
CAT 
EN