latentInforme de la demostración grabada
La demostración narrada sigue una nueva investigación de Parcel Desk, 20261022T041953Z-70ce5a, desde la confirmación de las CVE hasta la inspección, evaluación, planificación manual y creación del informe. CVE-2026-109618 y CVE-2026-109619 afectan al PHP 8.4.26 observado; las seis pruebas funcionales pasaron. El parche propuesto es PHP 8.4.27. No se actualizó el entorno ni se intentó explotar las vulnerabilidades.
Leer el informe final del video (inglés) · Investigación completa · Huellas de los archivos.
La investigación anterior se conserva a continuación como evidencia independiente.
Investigación y alcance
La ejecución 20261022T024516Z-0741ba examinó el laboratorio sintético Parcel Desk para CVE-2026-109618 y CVE-2026-109619. Comenzó a las 02:45:19 UTC y terminó a las 02:46:14 UTC del 22 de octubre de 2026. El caso avanzó mediante la API por escaneo, evaluación, planificación e informe, con revisión de evidencia entre fases.
El destino admitido es una aplicación PHP/Apache con versiones oficiales y Docker Compose. Se completó una investigación de planificación. No se actualizó el entorno, no se intentó explotar las vulnerabilidades ni se verificó una remediación.
Referencia observada
| Observación | Resultado |
|---|---|
| Imagen | php:8.4.26-apache |
| Versión informada por web | PHP 8.4.26; apache2handler |
| Memoria PHP | 128 MB |
| Límites de petición / archivo | 6 MB / 2 MB |
| Progreso de carga en sesión | Habilitado |
| Pruebas funcionales | 6 de 6 correctas |
| Huellas de archivos | 4 registradas |
Las pruebas cubrieron inicio, cotización, continuidad de sesión, página de carga, carga multipart normal y contador de archivos. Tres unidades devolvieron un total de 36. Son referencias funcionales, no pruebas de explotación. Se registraron puertos de Docker sin inferir acceso externo.
Aplicabilidad y fuentes
Ambas CVE se clasificaron como aplicables al PHP 8.4.26 observado. Las dos identifican 8.4.27 como límite de corrección en esta rama. El worker obtuvo los registros CNA a las 02:45:21 UTC, sin usar la caché. El clasificador comparó intervalos estructurados admitidos; el modelo no inventó la versión corregida.
El hallazgo establece aplicabilidad por versión. No se observó corrupción de memoria ni se reprodujo la secuencia de productor y consumidor de peticiones interrumpidas. Una carga normal exitosa no demuestra ni descarta explotación.
Cambio propuesto y aceptación
Sustituir php:8.4.26-apache por php:8.4.27-apache en el servicio web configurado. El procedimiento exige reconfirmar la evidencia, preparar recuperación de aplicación y datos, descargar y registrar la imagen, guardar Compose, revisar la edición y recrear el servicio en una ventana aprobada.
La aceptación requiere observar la nueva versión por HTTP, repetir las seis pruebas, comparar huellas y registrar el contenedor nuevo. No se ha medido ninguno de esos resultados posteriores. Volver a una imagen afectada restaura los hallazgos; la decisión de recuperación debe conservar esa información.
Abrir el procedimiento original en inglés. Conserva las rutas y comandos del laboratorio. Hay que revalidar el destino y consultar evidencia vigente antes de ejecutarlo.
Uso del modelo e integridad
El servicio registró siete llamadas a Gemini 3.5 Flash-Lite, 21,738 tokens de entrada y 326 de salida. El intervalo de unos 55 segundos incluye las pausas de revisión. El worker acumuló por separado 6.97 segundos de fases activas. Son una observación, no un benchmark, factura o estimación del tiempo de actualización.
Se recalculó y verificó la cadena de hashes de los eventos. Permite detectar cambios, pero carece de firma independiente o anclaje externo inmutable. No protege contra quien pueda reescribir todo el registro.
Descargar el JSON completo · Hashes y alcance. Los archivos contienen detalles del laboratorio sintético. La evidencia original está en inglés.
Conclusión y siguiente medición
La versión observada requiere planificar una actualización para los dos hallazgos, aunque todas las pruebas funcionales pasaron. Se propone una sustitución de imagen dentro de la misma rama. La siguiente medición corresponde al resultado del cambio aprobado y sus pruebas de aceptación.
Para evaluar fiabilidad hay que repetir con destinos afectados, corregidos y no admitidos, conservar fallos y casos sin resolver, y comparar con revisión independiente. Esta ejecución no proporciona ese denominador. El worker tiene acceso a Docker y corresponde a un host de laboratorio de confianza.
El artículo desarrolla la explicación y la página del agente presenta el proyecto.