CVE-2026-72592: Vulnerabilidad crítica en PHP (phpfm) permite ejecución remota de código

🚨 Alerta crítica: Se ha identificado la vulnerabilidad CVE-2026-72592 en el producto phpfm (PHP Group). Permite a un atacante remoto no autenticado ejecutar código PHP arbitrario en el servidor debido a una subida de archivos sin restricciones y sin autenticación por defecto. La puntuación CVSS es 9.8 (CRITICAL). Se recomienda revisar el aviso oficial y aplicar la actualización o mitigación publicada.

Cadena de riesgo y respuesta para CVE-2026-72592

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-72592
Fabricante	PHP Group (dulldusk)
Producto	phpfm
Fecha de publicación	2026-08-10
Severidad	CRITICAL
CVSS	9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Puntuación de prioridad	200
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-72592 afecta a phpfm, un producto del PHP Group (desarrollado por dulldusk). Se trata de una subida de archivos sin restricciones (CWE-434: Unrestricted Upload of File with Dangerous Type). La aplicación incluye un filtro de extensiones de subida vacío (configurado como array vacío) y no tiene autenticación habilitada por defecto (la variable auth_pass es una cadena vacía). Esto permite que un atacante remoto no autenticado suba un archivo PHP malicioso (webshell) y lo ejecute simplemente accediendo a la ruta donde se ha subido.

La vulnerabilidad está clasificada como CRÍTICA con una puntuación CVSS de 9.8, lo que indica un impacto muy alto en la confidencialidad, integridad y disponibilidad del sistema. Las versiones afectadas son todas las de phpfm hasta la 1.8.0 inclusive.

Productos y versiones vulnerables

Según los datos publicados por CVE.org, el producto afectado es:

Fabricante	Producto	Versión afectada	Tipo de versión
dulldusk	phpfm	≤ 1.8.0	semver

No se han publicado otras versiones o productos afectados en las fuentes consultadas.

Impacto y riesgo

El impacto de esta vulnerabilidad es crítico. Un atacante remoto no autenticado puede:

Subir un webshell PHP y ejecutar comandos arbitrarios en el servidor.
Comprometer completamente la confidencialidad, integridad y disponibilidad del sistema.
Utilizar el servidor como punto de partida para ataques internos o externos.
Acceder a datos sensibles, modificar archivos o interrumpir servicios.

Dado que la aplicación no requiere autenticación por defecto, cualquier persona con acceso a la interfaz web puede explotar la vulnerabilidad si el servicio está expuesto a Internet. La puntuación de prioridad de 200 (sobre 200) indica que debe ser atendida de forma inmediata.

Estado de explotación conocida

No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por parte de RyzerBot se basa en su publicación reciente y su puntuación CVSS ≥ 9.0, no en explotación activa confirmada. Se recomienda no asumir explotación sin evidencia oficial.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse ni asumirse. Si se detectan anomalías en el servidor, se recomienda realizar un análisis forense.

Cómo comprobar si estás afectado

Para determinar si tu instalación de phpfm es vulnerable:

Identifica la versión de phpfm que tienes instalada. Puedes revisar el archivo de configuración o la documentación de la aplicación.
Compara la versión con el rango afectado: ≤ 1.8.0.
Verifica si la autenticación está habilitada (la variable auth_pass no debe estar vacía) y si el filtro de extensiones de subida está configurado correctamente (no debe ser un array vacío).
Si tu versión es igual o inferior a 1.8.0 y la autenticación está desactivada, el servidor está en riesgo.

No se proporcionan comandos específicos porque las fuentes no los incluyen. Consulta la documentación oficial del producto.

Mitigación y actualización

La acción recomendada según las fuentes es:

Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Hasta que el fabricante publique un parche oficial, se recomienda:

Deshabilitar temporalmente el acceso a la interfaz web de phpfm si no es necesaria.
Restringir el acceso mediante reglas de firewall o listas de control de acceso (ACL).
Implementar autenticación fuerte (por ejemplo, mediante .htaccess o middleware) y configurar el filtro de extensiones de subida para permitir solo tipos de archivos seguros.
Migrar a una alternativa más segura si el producto no recibe soporte.

Las únicas referencias oficiales disponibles son las del repositorio de GitHub (https://github.com/dulldusk/phpfm) y el archivo index.php (https://github.com/dulldusk/phpfm/blob/master/index.php). No se ha publicado ningún parche oficial en las fuentes consultadas.

Checklist para administradores

☐ Identificar la versión de phpfm instalada.
☐ Verificar si la autenticación está habilitada (auth_pass no vacío).
☐ Revisar la configuración del filtro de extensiones de subida.
☐ Si la versión es ≤ 1.8.0, aislar el servidor o deshabilitar temporalmente el servicio.
☐ Implementar medidas de mitigación (firewall, autenticación adicional).
☐ Monitorizar la presencia de archivos no autorizados en el directorio de subida.
☐ Revisar los logs del servidor web en busca de accesos sospechosos.
☐ Notificar al equipo de seguridad y documentar las acciones tomadas.

Preguntas frecuentes

¿Qué es CVE-2026-72592?

Es una vulnerabilidad crítica en el producto phpfm (PHP Group) que permite a un atacante remoto no autenticado ejecutar código PHP arbitrario mediante subida de archivos sin restricciones.

¿Qué versiones están afectadas?

Según las fuentes, todas las versiones de phpfm hasta la 1.8.0 inclusive.

¿Cómo puedo saber si mi servidor es vulnerable?

Revisa la versión de phpfm instalada y comprueba si la autenticación está desactivada (auth_pass vacío) y el filtro de extensiones está vacío.

¿Existe un parche oficial?

No se ha publicado ningún parche oficial en las fuentes consultadas. Se recomienda aplicar las mitigaciones descritas y estar atento a las actualizaciones del fabricante.

¿Se está explotando activamente esta vulnerabilidad?

No se ha reportado explotación activa en las fuentes oficiales. La alerta se basa en la criticidad y reciente publicación.

¿Qué debo hacer si creo que he sido comprometido?

Aísla el servidor, realiza un análisis forense, revisa los logs y busca archivos no autorizados. Contacta con tu equipo de seguridad.

Fuentes oficiales

Las siguientes son las fuentes oficiales consultadas para esta alerta: