Productos y entornos · Plataformas de hosting y gestores de servidores

PHP2Shell en Azure App Service (PHP): si está afectado y cómo corregirlo

Veredicto rápido

Afectado; solo hay corrección para algunas versiones o componentes.

Estado del fabricante: Corregido en parte
PHP: Linux built-in 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
Última comprobación: 2026-10-22

Según el equipo de App Service, las imágenes PHP integradas y corregidas de App Service en Linux terminaron de desplegarse el 21 de octubre de 2026 en los canales de publicación Latest y Standard: PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El canal Extended recibe la corrección en último lugar. Azure no parchea los contenedores personalizados ni los runtimes PHP propios del cliente, las versiones de PHP sin soporte no reciben nada y las imágenes de WordPress on App Service que siguen en Alpine quedan sin parche (Microsoft remite a su guía de migración a Debian). La publicación solo cubre Linux, no PHP en Windows.

Cómo comprobar la versión de PHP que usa Azure App Service (PHP)

Ejecute el comando de su configuración. Una versión igual o superior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12 en su rama está corregida; las ramas antiguas solo con una compilación del fabricante que lo indique.

php --version
echo $PHP_VERSION

Ejecútalo en la consola SSH de la app (Kudu WebSSH: https://<nombre-app>.scm.azurewebsites.net/webssh/host). En el portal, Stack settings muestra la versión principal de PHP y el canal de publicación.

El php de la línea de comandos puede no ser el PHP que sirve el sitio. Para asegurarse, revise la SAPI web (una página phpinfo() temporal tras autenticación, o los ajustes de PHP del panel) y elimínela después. Nuestro comprobador de versiones compara el número por usted.

🔎 ¿Tienes el número de versión? Pégalo en el comprobador PHP2Shell →

Cómo corregir PHP2Shell en Azure App Service (PHP)

Si la app está en el canal Extended, cámbiala a Standard o Latest (portal → app → Stack settings → Platform Release Channel → Guardar). Microsoft recomienda Latest para apps expuestas a internet o de alto riesgo.
Comprueba por SSH que la versión activa es 8.2.35, 8.3.36, 8.4.27 o 8.5.12 o posterior; si no, reinicia la app.
Contenedor personalizado o PHP propio: reconstruye la imagen con una versión de PHP corregida y vuelve a desplegar. Azure no lo hace por ti.
PHP 8.1 o anterior: cambiar de canal no sirve. Migra la app a una versión de PHP con soporte y pruébala.
WordPress on App Service con imagen Alpine: migra a la imagen basada en Debian.
Instale la versión o los paquetes corregidos del fabricante indicados arriba.
Reinicie todos los procesos PHP (pools de PHP-FPM, Apache con mod_php, lsphp de LiteSpeed, workers de colas): un proceso en marcha conserva el PHP antiguo en memoria.
Confirme de nuevo la versión en ejecución con los comandos de comprobación.

¿Prefiere que lo compruebe un agente de IA? Comprobar si está afectado · Corregir con un agente de IA

Si todavía no puede parchear

Ponga session.upload_progress.enabled = 0 donde las aplicaciones no puedan cambiarlo (php.ini, php_admin_value en el pool FPM o la configuración de Apache) y reinicie PHP.
En PHP 8.5, ponga fatal_error_backtraces = 0.
Las medidas provisionales de PHP también incluyen memory_limit y un post_max_size bajo; siga exactamente la página de solución, porque estos ajustes solo cubren algunas vías.
Restrinja el acceso (VPN, lista de IP) o desconecte el servicio si usa PHP 8.1 o anterior sin retroportación del fabricante. Las reglas WAF ayudan, pero no son una corrección.

Preguntas frecuentes

¿Está Azure App Service (PHP) afectado por PHP2Shell?

Afectado; solo hay corrección para algunas versiones o componentes. Según el equipo de App Service, las imágenes PHP integradas y corregidas de App Service en Linux terminaron de desplegarse el 21 de octubre de 2026 en los canales de publicación Latest y Standard: PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. El canal Extended recibe la corrección en último lugar. Azure no parchea los contenedores personalizados ni los runtimes PHP propios del cliente, las versiones de PHP sin soporte no reciben nada y las imágenes de WordPress on App Service que siguen en Alpine quedan sin parche (Microsoft remite a su guía de migración a Debian). La publicación solo cubre Linux, no PHP en Windows.

¿Actualizar Azure App Service (PHP) corrige CVE-2026-109618 y CVE-2026-109619?

Solo si la actualización incluye PHP corregido. PHP2Shell es un fallo del intérprete de PHP; lo que importa es el PHP sobre el que funciona Azure App Service (PHP). Compruebe la versión tras actualizar.

¿Qué versiones de PHP corrigen PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores no reciben versión del proyecto PHP; solo las compilaciones de fabricantes con retroportación (o un parche de código fuente compilado por usted para 7.4, 8.0 y 8.1) los corrigen.

¿Y si Azure App Service (PHP) aún no tiene corrección?

Mantenga su interfaz web basada en PHP fuera de Internet (VPN o lista de IP), aplique los ajustes provisionales de PHP como desactivar session upload progress e instale la actualización del fabricante en cuanto salga. Los ajustes provisionales reducen el riesgo, pero no son una corrección.

← Todos los productos que incluyen PHP

Véase también: Solución por plataforma · Versiones afectadas · Estado de fabricantes

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

Resumen no oficial de fuentes públicas. Este sitio no está afiliado al fabricante ni al proyecto PHP y no aloja código de explotación.