El sistema de Estacionamiento Medido no fue alcanzado por ninguna amenaza, los datos y la información se encuentra protegida.

Gracias al pronto accionar de nuestro equipo técnico, se logró aislar por completo los servidores donde se aloja ESTACIONALO. Por ello y los análisis posteriores realizados por el propio equipo y terceros es que brindamos a los usuarios la seguridad de que ningún dato fue expuesto, que todos poseen el crédito, multas pagas y toda información de cada usuario/a intacta para cuando el sistema esté nuevamente operativo.

Nuestro equipo continúa trabajando para garantizar la absoluta certeza que este incidente global no afecte al sistema ni sus usuarios.

Informe breve: vulnerabilidades críticas recientes en PHP

Fecha: 23 de octubre de 2026

El 21 de octubre, el equipo de PHP publicó una actualización de seguridad para corregir dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS 4.0 de 9,2. En ciertas condiciones, podrían permitir que una persona atacante ejecute código de forma remota en un servidor sin autenticarse. Aviso oficial de PHP · Comunicado de ENISA

Los fallos se relacionan con errores de memoria y con el uso de datos internos de una solicitud que ya deberían haberse limpiado. El riesgo es especialmente relevante para servidores expuestos a Internet y para productos que incluyen PHP como componente, aunque la aplicación no lo muestre directamente. NCSC del Reino Unido

Recomendaciones: identificar todas las instalaciones de PHP —incluidas las integradas en servicios o productos de terceros—, actualizar primero los sistemas accesibles desde Internet y revisar las indicaciones de sus proveedores. Si no es posible actualizar pronto, conviene reducir la exposición o aislar temporalmente el sistema y comprobar si hubo señales de intrusión. ENISA · NCSC del Reino Unido

Conclusión: es un incidente de alta prioridad. Se recomienda verificar estado de PHP en servidores y plataformas web y aplicar la actualización correspondiente.

Informe avanzado

INFORME TÉCNICO DE CIBERSEGURIDAD

Análisis de Vulnerabilidad PHP y Estado Operativo del Servicio Web

Organización	Estacionalo S.R.L.	Clasificación	Confidencial / Uso Interno
Asunto	Vulnerabilidades RCE en PHP e Interrupción Preventiva de App	Nivel de Riesgo	CRÍTICO (CVSS 9.2)
Fecha de Emisión	23 de Octubre de 2026	Elaborado por	Leandro Manco

 

1. RESUMEN EJECUTIVO

El presente informe documenta la evaluación de seguridad realizada para Estacionalo S.R.L. a raíz de la divulgación pública de vulnerabilidades críticas de Ejecución Remota de Código (RCE) en el lenguaje PHP (designadas como CVE-2026-109618 y CVE-2026-109619 / PHP2Shell). Asimismo, se detalla la justificación técnica de la medida tomada respecto a la baja del servicio web/app por razones de seguridad, las versiones afectadas y el procedimiento estandarizado para la restitución segura de las operaciones.

2. JUSTIFICACIÓN TÉCNICA: BAJA DEL SERVICIO DE LA APP POR SEGURIDAD

Estado Actual del Servicio: Desactivado Preventivamente El mensaje u orden de “servicio de la app dado de baja por seguridad” responde a un protocolo estricto de aislamiento preventivo implementado por el área técnica. No representa una falla fortuita, sino una medida de contención activa.

Las razones técnicas específicas de esta interrupción incluyen:

• Aislamiento de Vectores de Explotación: Desactivación temporal de las interfaces de entrada de datos (endpoints de la API y formularios) para evitar que solicitudes maliciosas aprovechen la falla de procesamiento de solicitudes multipart/form-data en el motor PHP.
• Baja de Servidores e Instancias Obsoletas: Desconexión de entornos de staging, contenedores secundarios o servidores VPS antiguos que ejecutaban versiones heredadas sin soporte de parches de seguridad.
• Protección de Datos y Cumplimiento: Bloqueo del tráfico expuesto a la red pública mientras se completan las tareas de sanitización, renovación de certificados SSL/TLS y auditoría de integridad de bases de datos.

3. MATRIZ DE VERSIONES PHP Y PARCHES REQUERIDOS

Rama PHP	Estado de soporte	Versiones vulnerables	Versión mínima parcheada
PHP 8.5	Soportado	< 8.5.12	8.5.12
PHP 8.4	Soportado	< 8.4.27	8.4.27
PHP 8.3	Soportado	< 8.3.36	8.3.36
PHP 8.2	Soportado	< 8.2.35	8.2.35
PHP 7.x / 5.x	Sin soporte (EOL)	Todas las versiones	Migración obligatoria a 8.3+

 

 

4. MECANISMO DE EXPLOTACIÓN Y RIESGO OPERATIVO

Las vulnerabilidades identificadas permiten a un atacante no autenticado enviar paquetes HTTP manipulados con encabezados multipart corruptos. Esta acción genera un desbordamiento o corrupción de memoria dentro del proceso worker del servidor web (Apache, Nginx o PHP-FPM). Si el servicio permaneciera activo sin parchear, los riesgos directos para Estacionalo S.R.L. abarcan:

• Ejecución de Código Arbitrario (RCE): Despliegue de scripts maliciosos (webshells) para tomar control administrativo del servidor.
• Filtración y Compromiso de Datos: Acceso a credenciales de la base de datos de usuarios, registros de cobro, patentes de vehículos e historiales de estacionamiento.
• Interrupción Comercial: Alteración no autorizada de la lógica de acceso a las playas de estacionamiento y cobros en línea.

5. PLAN DE MITIGACIÓN Y PROTOCOLO DE RESTITUCIÓN

Para proceder con la reactivación segura de la aplicación y la infraestructura web, el equipo de TI debe dar cumplimiento estricto a las siguientes etapas de trabajo:

1. Fase 1 — Actualización de Entornos e Infraestructura: Actualizar de manera inmediata todos los binarios de PHP en los servidores de producción y contenedores Docker a las versiones seguras especificadas en la Sección 3. Desmantelar definitivamente cualquier instancia con versiones EOL (PHP 7.x o inferior).
2. Fase 2 — Reglas de Contención en WAF / Proxy Inverso: Configurar en el Web Application Firewall (WAF) o servidor Nginx una regla de filtrado estricta sobre peticiones Content-Type: multipart/form-data, limitando su recepción únicamente a los endpoints que requieran subida explícita de archivos.
3. Fase 3 — Auditoría Forense y Verificación de Integridad: Revisar exhaustivamente los archivos de registro (logs de acceso) en busca de peticiones inusuales dirigidas a directorios temporales (/tmp, /var/www/uploads) previo a dar de alta el servicio.
4. Fase 4 — Restablecimiento Progresivo de la App: Una vez confirmada la integridad del entorno y aplicados los parches, rehabilitar paulatinamente las API para los usuarios y sistemas de cobro, monitoreando el tráfico durante las primeras 12 horas.
5. CONCLUSIÓN Y RECOMENDACIÓN FINAL

La decisión de dar de baja el servicio de la aplicación por motivos de seguridad fue una medida preventiva correcta y alineada con los estándares de respuesta ante incidentes. La reconexión de la app debe condicionarse estrictamente a la verificación previa del despliegue de parches en la totalidad de la infraestructura de Estacionalo S.R.L.

Elaborado y Firmado por: Leandro Manco — Seguridad Informática e Infraestructura, Estacionalo S.R.L.