De 19,000 vulnerabilidades de PHP, 35 se están explotando. Aquí están.

Clasificamos cada CVE del motor de PHP, de Composer y de WordPress por explotación real (CISA KEV + EPSS) en lugar de por CVSS. Una cuarta parte de los CVE 'críticos' tiene una probabilidad de explotación inferior al 1%; los fallos que los atacantes usan de verdad están listados abajo.

Publicado el 2026-10-28 · datos: feed de phpwarden 2026.10.28.1 (generado el 2026-10-27) · fuentes: OSV.dev, FriendsOfPHP, NVD, CISA KEV, FIRST EPSS

Por qué hicimos el recuento

Todos los escáneres de dependencias de PHP que probamos ordenan los hallazgos por CVSS. Eso produce un muro de rojo: en este feed 5,708 de 19,264 CVE están clasificados como altos o críticos. Nadie corrige 5,708 cosas, así que la lista se ignora, lo cual es peor que no tener lista alguna. Queríamos saber cuánto de ese rojo es real.

Así que tomamos cada aviso que phpwarden conoce — 8,599 avisos de paquetes de Composer, 12,328 avisos de plugins/temas/núcleo de WordPress y los CVE del motor de PHP — y unimos cada uno a dos señales de explotación real: el catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities) de CISA (explotación confirmada en entornos reales) y el EPSS de FIRST (una probabilidad actualizada a diario de que un CVE sea explotado en los próximos 30 días). 17,929 de los 19,264 tienen una puntuación EPSS.

1. El feed por severidad CVSS

Esto es lo que ve un escáner ordenado por CVSS. El 30% de todo es "alto" o "crítico".

2. El feed por explotación real

Exactamente 35 de los 19,264 CVE — 0.18% — están en CISA KEV. Si se amplía el criterio a "el EPSS indica una probabilidad ≥10% de explotación en los próximos 30 días", se obtienen 667 (3%). Con ≥50% son 226. La cantidad de cosas por las que un equipo de PHP necesita de forma realista dejarlo todo se cuenta por decenas, no por miles.

3. "Crítico" es un mal predictor

Hay 1,446 CVE con una puntuación de 9.0 o superior. 351 de ellos (24%) tienen un EPSS inferior al 1% — los atacantes no han mostrado prácticamente ningún interés. Solo 270 (19%) superan un EPSS del 10%. Mientras tanto, 156 CVE con un CVSS inferior a 7.0 ("medios" o menores) tienen un EPSS del 10% o más, y 5 de las 35 entradas KEV están clasificadas como medias o no tienen ningún CVSS.

Unos cuantos de los CVE de 9.0+ que nadie está explotando, para concretar la idea:

• CVE-2019-3809 — Moodle Blind SSRF Risk in /badges/mybackpack.php moodle/moodle CVSS 10.0, EPSS 0.84%
• CVE-2022-45822 — Unauth. SQL Injection (SQLi) vulnerability in Advanced Booking Calendar plugin <= 1.7.1 on advanced-booking-calendar (WordPress plugin) CVSS 10.0, EPSS 0.81%
• CVE-2023-51419 — Unrestricted Upload of File with Dangerous Type vulnerability in Bertha.Ai BERTHA AI. Your bertha-ai (WordPress plugin) CVSS 10.0, EPSS 0.63%
• CVE-2024-50496 — Unrestricted Upload of File with Dangerous Type vulnerability in webandprint AR For WordPr ar (WordPress plugin) CVSS 10.0, EPSS 0.51%
• CVE-2024-8615 — The JobSearch WP Job Board plugin for WordPress is vulnerable to arbitrary file uploads du jobsearch-wp-job-board (WordPress plugin) CVSS 10.0, EPSS 0.86%
• CVE-2025-46337 — SQL injection in ADOdb PostgreSQL driver pg_insert_id() method adodb/adodb-php CVSS 10.0, EPSS 0.74%

Ninguno de estos es "seguro" — aplicar el parche sigue siendo lo correcto. Pero si solo dispone de una tarde, no debería dedicarla a estos.

4. Los 35 que se están explotando de verdad

Clasificados por EPSS. Cada fila enlaza con su página de aviso con las versiones afectadas y corregidas.

Dónde se concentran

Por paquete: drupal/core (5), PHP engine (4), drupal/drupal (4), craftcms/cms (4), magento/community-edition (3), pear/archive_tar (2), WordPress core (2), phpunit/phpunit (1). Los núcleos de CMS dominan — Drupal, Craft, Magento, WordPress — porque un RCE no autenticado en un CMS merece automatizarse a escala de internet, y esos son precisamente los fallos que se automatizan.

Dos de ellos son dependencias de desarrollo

CVE-2017-9841 (phpunit/phpunit) and CVE-2021-3129 (facade/ignition) están en KEV con un EPSS cercano al 100%. Ninguno debería existir en un servidor de producción: el eval-stdin.php de PHPUnit y la página de error de depuración de Ignition solo son accesibles cuando se desplegaron paquetes de require-dev. Ejecutar composer install --no-dev en el paso de despliegue elimina toda una clase de estos, y un escáner que comprueba si un paquete vulnerable es realmente alcanzable desde su código le dirá cuáles de los demás importan.

El propio motor de PHP

4 CVE del motor están en KEV: CVE-2026-109618, CVE-2026-109619, CVE-2024-4577, CVE-2019-11043. Estos son aquellos en los que "qué versión de PHP tienes" es toda la cuestión — y como PHP retroporta las correcciones por rama, la comprobación correcta es "¿está 8.2.x en o por encima de la versión de corrección para 8.2?", no "¿estás en la última versión mayor?". Una rama que ha llegado al fin de su vida útil no tiene versión de corrección alguna.

5. Explotados, pero (todavía) no en KEV

KEV se cura manualmente y va con retraso; el EPSS se mueve a diario. Estos tienen el EPSS más alto de todo lo que no está en el catálogo. Si su escáner solo conoce KEV, no conoce estos.

6. Cuándo se publicaron los fallos

2024 fue el año más grande del feed, impulsado por los avisos de plugins de WordPress. El volumen no es riesgo: la mayoría de los 35 CVE explotados tienen años. Los atacantes no necesitan fallos nuevos cuando los antiguos siguen funcionando en hosts sin parchear.

Qué hacer con esto

1. Ordene por explotación, no por severidad. KEV primero, luego EPSS, luego CVSS. Ese es el orden que usa phpwarden, y es el motivo por el que su modo CI tiene un ajuste fail-on: exploited en lugar de solo un umbral de CVSS.
2. Compruebe la alcanzabilidad. Un paquete vulnerable que nada de su código invoca tiene menor prioridad que uno en una ruta de petición. phpwarden deps composer.lock comprueba si se referencia cada paquete vulnerable.
3. Despliegue sin dependencias de desarrollo. Dos de los CVE de PHP más explotados del planeta solo muerden si no lo hizo.
4. Conozca la rama de su motor. 4 de los 35 son el propio PHP; phpwarden scan compara su versión exacta con la versión de corrección de su rama.

composer require --dev phpwarden/phpwarden   # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock      # Composer
vendor/bin/phpwarden scan                    # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themes

Método y advertencias

• Datos: el feed de phpwarden, versión 2026.10.28.1, construido a partir de OSV.dev, FriendsOfPHP/security-advisories y NVD (WordPress), enriquecido con CISA KEV y FIRST EPSS. 19,264 CVE distintos, 20,935 pares (paquete, CVE). Explórelo en /advisories.
• "Crítico" significa una puntuación base CVSS ≥ 9.0 según la registra el aviso de origen. 1,051 CVE no tienen puntuación.
• El EPSS es una probabilidad para los próximos 30 días, a la fecha del feed; cambia a diario. La pertenencia a KEV es a la fecha del feed.
• El EPSS y KEV miden la explotación en internet en general, no en su entorno. Un fallo no explotado en un objetivo de alto valor sigue siendo un fallo. Lo que se afirma aquí es sobre la prioridad, no sobre ignorar nada.
• Regenerar: scripts/build_blog.py en el repositorio de phpwarden.