Aviso de seguridad · PHP2Shell · 22 de octubre de 2026
PHP2Shell: vulnerabilidad crítica de PHP con ejecución remota de código (CVE-2026-109618, CVE-2026-109619)
Este es un informe no oficial. No es php.net, ni la NVD, ni la CISA. Su estructura sigue la de un aviso de seguridad de PHP para que los administradores capten los hechos rápidamente.
Última actualización
¿Qué es PHP2Shell? Últimas noticias
El 21 de octubre de 2026, el proyecto PHP publicó un aviso de seguridad sobre dos fallos críticos del motor de PHP que permiten la ejecución remota de código sin autenticación. El nombre habitual es PHP2Shell; la CISA lo escribe «php2shell».
| ID | Resumen | CVSS v4.0 |
|---|---|---|
| CVE-2026-109618 | RCE por corrupción de memoria al agotarse la memoria (GHSA-w8hw-w9fx-j79w). Mayor riesgo, según PHP, con Apache mod_php. | 9.2 |
| CVE-2026-109619 | RCE por estado global obsoleto (GHSA-6wmf-4rv5-p3rp) que se reutiliza entre peticiones del mismo worker. | 9.2 |
| Rama | Estado antes del parche | Versión corregida (21 oct. 2026) |
|---|---|---|
| PHP 8.5 | Afectada | 8.5.12 |
| PHP 8.4 | Afectada | 8.4.27 |
| PHP 8.3 | Afectada | 8.3.36 |
| PHP 8.2 | Afectada | 8.2.35 |
| PHP 8.1 y anteriores | Ninguna nueva versión oficial del proyecto PHP; algunos proveedores publican backports | Consulte al proveedor / notas sobre versiones EOL |
¿Se está explotando PHP2Shell?
- AWS MadPot informó de un intento de explotación el 17 de octubre de 2026, antes incluso de la divulgación pública.
- Cloudflare, AWS y watchTowr describen grandes volúmenes de intentos de explotación tras el aviso; el CEO de Cloudflare escribió el 22 de octubre que los intentos habían pasado de miles a millones.
- En las fuentes revisadas para esta página no consta ningún compromiso confirmado de sitios de producción conocidos por su nombre. Según informes secundarios, las CVE no figuraban en el catálogo KEV de la CISA el 22 de octubre; compruebe usted mismo el catálogo KEV.
¿Mi versión de PHP está afectada por PHP2Shell?
Introduzca la versión de PHP que indica su SAPI web (php -v, panel de hosting o phpinfo()). Este comprobador solo compara números de versión con las versiones corregidas upstream. No detecta backports de los proveedores.
- Páginas por rama: 8.5, 8.4, 8.3, 8.2, EOL 5–8.1.
- Vista general: versiones afectadas.
- Panel de hosting chino: 宝塔面板.
¿Qué sitios y fabricantes afecta PHP2Shell?
| Fabricante | Estado | Notas |
|---|---|---|
| Cisco | En investigación | Revisa muchos productos; ninguno confirmado como afectado en el aviso consultado. |
| Red Hat | Parcialmente corregido | Algunos paquetes actualizados; revise sus canales. |
| Ubuntu | Corregido | Actualizaciones de seguridad publicadas para las versiones con soporte. |
| Debian | Corregido | DLA-4848-1 (12 bookworm) y DSA-6574-1 (13 trixie). |
| cPanel | Corregido | Paquetes del panel actualizados. |
| Plesk | Corregido | Paquetes del panel actualizados. |
| Sophos | No afectado | El fabricante declara que sus productos no están afectados. |
| AWS | Parcialmente corregido | Boletín 2026-143-AWS: actualizaciones en curso para Elastic Beanstalk, Amazon Linux y Lightsail; Lightsail requiere instancias nuevas. |
Más información: estado de los fabricantes · evaluaciones de las autoridades.
¿Cómo soluciono PHP2Shell?
- Actualice a PHP **8.5.12**, **8.4.27**, **8.3.36** u **8.2.35** (o posterior en la misma rama). Código fuente y builds para Windows: descargas de php.net.
- Reinicie cada worker que atienda peticiones (Apache con mod_php, pools de PHP-FPM, php-cgi, FrankenPHP, LiteSpeed, contenedores).
- PHP 8.1 y anteriores: obtenga un backport del proveedor, recompile sus builds propios a partir de los backports mínimos de código fuente del proyecto para 7.4/8.0/8.1, o desconecte el servicio hasta la actualización, conforme a la recomendación de la CISA para sistemas que no pueden actualizarse.
- Las reglas WAF y las medidas provisionales de
php.inidel aviso de PHP solo reducen algunas vías. No son una solución completa.
Paso a paso para apt, yum, Docker, cPanel, Plesk y más: corrección.
¿Cuántos servidores están expuestos a PHP2Shell?
Las estimaciones públicas son elevadas y no cuentan sitios realmente hackeados. The Record (citando un análisis de VirusTotal) y una publicación de ThreatCluster hablan de unos **5,1 millones** de direcciones de Internet identificadas como PHP (según ThreatCluster, solo alrededor de 1,1 millones muestran una cabecera de versión). Un análisis citado antes situaba las estimaciones de tipo Censys en más de **1,3 millones** de hosts afectados. Las observaciones recientes de PHP de Bitsight se concentran en EE. UU., Alemania, Francia, Países Bajos y Japón, lo que no demuestra que un país esté «más desactualizado».
**No** inventamos una cifra de daños mundiales. Mientras aseguradoras, gobiernos o divulgaciones no publiquen costes atribuibles, cualquier número sería especulación.
¿Por qué PHP2Shell es más difícil de contener en la era de la IA?
- Los informes sobre PHP2Shell (incluidos Wiz y el artículo de The Record sobre la PHP Foundation) describen cómo las revisiones asistidas por IA ayudaron a encontrar fallos críticos en un motor con décadas de antigüedad. Los atacantes tienen la misma palanca: en cuanto existe un PoC, los escaneos y el armado escalan más rápido que los ciclos manuales de parcheo en hosts olvidados.
- PHP sin soporte (5.x a 8.1 sin backport) sigue muy extendido en hosting compartido, appliances y sitios CMS «instalados y olvidados». A menudo ya nadie sabe cómo actualizarlo, y una RCE a nivel de lenguaje se convierte en un problema de limpieza a escala de Internet en lugar de un simple arreglo de una aplicación.
- La lección práctica para los administradores: inventariar cada lugar donde PHP está integrado, parchear el día del aviso y retirar las ramas que el proyecto PHP ya no publica. La lección para el sector: la IA acorta el tiempo entre el descubrimiento y la explotación; la latencia de parcheo en sistemas heredados es la verdadera superficie de ataque.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Joint statement on critical PHP vulnerabilities — ENISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
- PHP2Shell: PHP remote code execution exploited — watchTowr
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Known Exploited Vulnerabilities catalog — CISA