Dos fallos críticos en Composer abren la puerta a la ejecución de comandos mediante Perforce

Composer, la herramienta de gestión de paquetes más usada en el ecosistema PHP, ha publicado correcciones para dos fallos de seguridad graves que, explotados con éxito, permitirían la ejecución de comandos arbitrarios en la máquina donde se ejecute Composer. Estos problemas están relacionados con el controlador de Perforce como sistema de control de versiones y afectan a varias ramas de Composer 2.x.

Las dos vulnerabilidades fueron catalogadas con identificadores CVE y puntuaciones altas de severidad: CVE-2026-40176 (CVSS 7.8) y CVE-2026-40261 (CVSS 8.8). Puede consultar los detalles técnicos en la base de datos del NVD: CVE-2026-40176 y CVE-2026-40261.

En términos sencillos, ambas vulnerabilidades provienen de una validación y escapado insuficiente de datos que provienen de la configuración de un repositorio Perforce declarada en un archivo composer.json. Un repositorio malicioso puede incluir campos diseñados para inyectar caracteres especiales de shell o secuencias que Composer termina ejecutando. Lo preocupante es que, según los mantenedores, Composer puede llegar a ejecutar esos comandos incluso si Perforce no está instalado en el sistema, porque el código del controlador procesa la metadata y la transforma en llamadas que terminan en el shell.

Qué versiones están afectadas y cuáles contienen la corrección: las fallas impactan las ramas 2.0 y 2.3 en determinados rangos. Las correcciones se han publicado en las versiones 2.2.27 y 2.9.6; si su instalación de Composer está por debajo de esos límites debe actualizar cuanto antes. Puede revisar el proyecto y los avisos en el repositorio oficial de Composer en GitHub: github.com/composer/composer.

Si por alguna razón no es posible aplicar la actualización de inmediato, hay medidas intermedias que reducen el riesgo. Una de las más importantes es inspeccionar manualmente los archivos composer.json antes de ejecutar Composer en proyectos que no provengan de fuentes absolutamenta confiables: verifique que no existan entradas relacionadas con Perforce que contengan valores extraños o caracteres especiales. Además, conviene limitar la instalación a repositorios y paquetes de confianza y evitar, salvo que esté seguro de la procedencia, el uso de la opción --prefer-dist o la configuración preferred-install: dist, porque esas rutas pueden exponer metadatos externos manipulables.

Los responsables de Composer han realizado un barrido en Packagist.org y, por el momento, no han encontrado evidencia de que actores maliciosos hayan explotado estas fallas publicando paquetes con metadatos de Perforce manipulados. Aun así, como medida preventiva, la publicación de metadata relacionada con Perforce fue deshabilitada en Packagist.org a partir del viernes 10 de abril de 2026. Si usa Packagist puede consultar la plataforma en packagist.org.

Si administra instalaciones corporativas o una instancia self-hosted (Private Packagist), atención: los equipos indicaron que se espera una nueva entrega destinada a clientes de Packagist Self-Hosted para abordar y coordinar la mitigación en entornos controlados. Mientras tanto, las buenas prácticas de seguridad —actualizar, auditar metadatos y limitar el uso de fuentes no verificadas— son las defensas más eficaces.

Este incidente recuerda que incluso las herramientas de confianza, al procesar metadata externa, pueden convertirse en vectores de ejecución remota si no se valida ni escapa correctamente la entrada. Si gestiona proyectos PHP, la recomendación práctica y urgente es actualizar Composer a las versiones que corrigen ambas vulnerabilidades y revisar los procesos automatizados que ejecuten Composer sobre código de terceros.

Para más información y seguimiento, consulte las entradas oficiales y los avisos de seguridad del proyecto Composer y la base de datos nacional de vulnerabilidades: getcomposer.org, advisories en GitHub, y la ficha de cada CVE en el NVD mencionada arriba.