Blog
Datos del feed de phpwarden, analizados y explicados. Qué se está explotando de verdad en el ecosistema PHP y qué hacer al respecto.
De 19,000 vulnerabilidades de PHP, 35 se están explotando. Aquí están.
Clasificamos cada CVE del motor de PHP, de Composer y de WordPress por explotación real (CISA KEV + EPSS) en lugar de por CVSS. Una cuarta parte de los CVE 'críticos' tiene una probabilidad de explotación inferior al 1%; los fallos que los atacantes usan de verdad están listados abajo.
11,800 CVE de WordPress, 7 en CISA KEV: los plugins que los atacantes usan de verdad
Todos los avisos de núcleo, plugins y temas de WordPress de nuestro feed, clasificados por explotación real (CISA KEV + EPSS). Los plugins con más avisos no son los que están siendo atacados; los que lo están son plugins de copia de seguridad, gestión de archivos y formularios con fallos de subida no autenticada o RCE.
Los paquetes de Composer en CISA KEV (y los dos que son dependencias de desarrollo)
1,500 paquetes de Composer tienen avisos publicados. Solo 24 CVE repartidos entre ellos están en CISA KEV, y se concentran en núcleos de CMS: Drupal, Craft, Magento, October. Para los equipos de Laravel, los tres que importan son Ignition, Livewire y un antiguo RCE del framework.
Cada CVE del motor de PHP con una versión de corrección, por rama (y cuáles se explotan)
PHP retroporta las correcciones por rama, así que 'actualiza a la última versión' es la comprobación equivocada. Aquí está cada CVE del motor en el feed con la versión de corrección para 8.1, 8.2, 8.3, 8.4 y 8.5, qué SAPI requiere y cuáles cuatro están en CISA KEV, incluidos los dos use-after-free de octubre de 2026.