ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Trend Micro

Alerta 2026-165: Productos Trend Micro afectados por PHP2Shell

Producto(s) afectado(s): 

ProductoVersiones afectadas
Apex One (servidor on-premise, 2019 SP1)Afectado; Critical Patch B20113 (módulo PHP 8.2.35). Según el fabricante, se instala sobre SP1 build 11092 o posterior
Apex CentralAfectado; Critical Patch B7351 (módulo PHP 8.2.35). Requisito: Apex Central Build 3752
Deep Discovery Inspector (DDI) / Vision One NDRAfectado; Critical Patch por rama: 7.0 CP 1077; 6.82 CP 1064; 6.71 CP 1098; 6.70 CP 1119; 6.60 CP 1110; 6.5 CP 1200
Deep Discovery Email Inspector (DDEI) 5.1Afectado; Critical Patch CP 4902
Deep Discovery Analyzer (DDAN)Afectado, aún sin parche; Critical Patch previsto el 18/11/2026
Trend Micro Mobile Security for Enterprise (TMMS)Afectado, aún sin parche; contactar al soporte del fabricante para la mitigación; Critical Patch previsto el 17/11/2026
Trend Micro Web Security – Authentication AgentAfectado; mitigación en KA-0024829 (PHP 8.4.27). TMWS Cloud está corregido desde el 30/10/2026. El Gateway on-premise y el Enforcement Agent no están afectados
Apex One as a Service / Vision One Standard Endpoint SecurityYa corregido mediante mantenimiento de emergencia el 23/10/2026; no requiere un Critical Patch on-premise

El componente afectado es el PHP embebido en el servidor on-premise y en las consolas o productos listados, no el agente de endpoint. Vision One – Mobile Security no está afectado.

Descripción

Se han publicado dos vulnerabilidades interrelacionadas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 (PHP2Shell). El proyecto PHP las anunció el 21/10/2026 y las califica con CVSS 9.2, crítica. Permiten la ejecución remota de código sin autenticación a través de HTTP, con impacto alto en la confidencialidad, la integridad y la disponibilidad. Las versiones corregidas de PHP son 8.2.35, 8.3.36, 8.4.27 y 8.5.12, ya cubiertas en la Alerta 2026-117. Este boletín se centra en el PHP embebido en productos Trend Micro —el fabricante también usa la marca TrendAI en el portal de soporte—, no en un nuevo análisis de la falla de PHP.

En el aviso KA-0024802, actualizado el 12/11/2026 (estado de productos al 12/11), el fabricante indica qué consolas y servidores on-premise están afectados y cuáles ya tienen Critical Patch. Los parches de Apex One y Apex Central se publicaron el 11–12/11/2026. Las fallas de PHP se explotan en ataques reales; el impacto en la interfaz de gestión de PAN-OS se cubrió en la Alerta 2026-125. El fabricante indicó que, por ahora, no ha observado explotación exitosa en sus propios productos o servicios.

El Critical Patch B20113 de Apex One y el B7351 de Apex Central actualizan el módulo PHP a 8.2.35, según los readme del fabricante. Deep Discovery Inspector tiene Critical Patch por rama y Deep Discovery Email Inspector 5.1 tiene el CP 4902; el aviso no indica la versión de PHP en esos parches. El Authentication Agent de Trend Micro Web Security cuenta con mitigación en KA-0024829 (subir el runtime de PHP a 8.4.27; si el agente aún ejecuta PHP 7.4, hay que actualizar primero el agente a una build con PHP 8.4). Apex One as a Service ya se corrigió el 23/10/2026. Todavía no hay parche para Trend Micro Mobile Security for Enterprise, previsto el 17/11/2026, ni para Deep Discovery Analyzer, previsto el 18/11/2026. El aviso del 12/11 no publica pasos de mitigación específicos para Deep Discovery Analyzer; para TMMS, el fabricante pide contactar al soporte, sin un artículo público de mitigación equivalente.

Tras aplicar el Critical Patch B20113, en entornos donde el servidor Apex One se registró en Apex Central con el certificado de Apex Central, puede fallar la prueba de conexión y Apex Central puede dejar de mostrar el estado actualizado de Apex One. El fabricante lo atribuye a un problema de compatibilidad entre el certificado que genera Apex Central y ese Critical Patch, y anuncia una corrección futura en Apex Central. El workaround oficial está documentado en el artículo KA-0025036, disponible en japonés; la versión en inglés del mismo identificador no entrega el contenido.

El fabricante declaró fuera de alcance una serie de otros productos, entre ellos Cloud App Security, ServerProtect, Deep Security, TippingPoint, Worry-Free Business Security y Deep Discovery Director. Esa lista no es exhaustiva; conviene consultar el aviso. No se identificó un aviso del fabricante con indicadores de compromiso, actor o víctimas en productos Trend, ni una prueba de concepto dirigida a Apex One o Apex Central.

Mitigación

Aplicar de inmediato los Critical Patch ya publicados: Apex One B20113, Apex Central B7351, Deep Discovery Inspector según la rama y Deep Discovery Email Inspector 5.1 CP 4902, además de la mitigación del Authentication Agent de Trend Micro Web Security descrita en KA-0024829. Tras el CP 20113, comprobar la comunicación con Apex Central; si falla, seguir el artículo KA-0025036 (en japonés).

Hasta aplicar el parche, o en TMMS y Deep Discovery Analyzer mientras no esté publicado, el fabricante recomienda restringir el acceso a los servidores y consolas de gestión afectados a direcciones IP de confianza. En Apex One y Apex Central, la mitigación interina sigue documentada en KA-0024815 (para Apex Central, Build 7328 o posterior; para Apex One, servidor en Build 18012 o posterior). Si ya se aplicó esa mitigación, el Critical Patch se puede instalar sin revertir los módulos. En TMMS, contactar al soporte del fabricante. En Deep Discovery Analyzer, el aviso del 12/11 no publica pasos específicos. Quienes usen IPS o Virtual Patching del fabricante tienen reglas adicionales descritas en KA-0024789; no sustituyen el parche.

Estas medidas no sustituyen la actualización. El parche no deshace un compromiso previo.

Solución

La solución consiste en actualizar cada producto afectado al Critical Patch o a la build indicada, o a una posterior, y verificar la build instalada. En Trend Micro Mobile Security for Enterprise y en Deep Discovery Analyzer, aplicar la corrección en cuanto el fabricante la publique en las fechas previstas (17/11/2026 y 18/11/2026, respectivamente). En Apex One as a Service no se requiere un Critical Patch on-premise.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://success.trendmicro.com/en-US/solution/KA-0024802

Información adicional: