Ciberseguridad

Vulnerabilidad en PHP Composer

• CVE-2026-40176: Descubierta por el investigador de seguridad saku0512, esta vulnerabilidad afecta directamente al método interno utilizado para generar comandos de Perforce.
  Los atacantes pueden inyectar comandos arbitrarios manipulando parámetros de conexión como el puerto, usuario o cliente dentro de un archivo composer.json malicioso.
  Este vector de ataque solo funciona si un desarrollador ejecuta manualmente comandos de Composer en un directorio de proyecto no confiable. No puede activarse silenciosamente a través de dependencias instaladas de forma estándar.

• CVE-2026-40261: Reportada por el investigador Koda Reef, este fallo implica una sanitización incorrecta al añadir un parámetro de referencia de origen a un comando del sistema.
  Un repositorio de Composer comprometido o malicioso puede servir metadatos de paquetes contaminados que exploten esta vulnerabilidad.
  Lo alarmante es que un atacante ni siquiera necesita tener instalado el software Perforce en la máquina objetivo, ya que Composer intentará ejecutar el comando inyectado de todos modos.
  Esto es altamente peligroso porque puede explotarse simplemente instalando dependencias maliciosas desde el origen.

Mitigaciones

• Evita instalar dependencias directamente desde el origen utilizando la bandera --prefer-dist o configurando tu proyecto para preferir archivos de distribución.

• Asegúrate de confiar solo en repositorios de paquetes de Composer verificados y confiables.

• Inspecciona cuidadosamente los archivos composer.json de cualquier proyecto no confiable antes de ejecutar comandos de Composer, verificando que todos los campos relacionados con Perforce contengan datos válidos.