Productos y entornos · Plataformas de hosting y gestores de servidores

PHP2Shell en Bluehost: si está afectado y cómo corregirlo

Veredicto rápido

Afectado; solo hay corrección para algunas versiones o componentes.

Estado del fabricante: Corregido en parte
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
Última comprobación: 2026-10-22

El aviso de estado de Bluehost “PHP Updates” (publicado el 21 de octubre) dice en su última actualización, del 22 de octubre a las 10:00 hora del este de EE. UU. (14:00 UTC), que sus equipos han avanzado mucho en el despliegue de versiones parcheadas de PHP en toda su infraestructura, y ahora enumera esas versiones: en cPanel EasyApache 4, PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 más los backports del proveedor 8.1.34-5, 8.0.30-12 y 7.4.33-19; en CloudLinux EasyApache 4 para CentOS 7 / CloudLinux 7, backports para cada rama de 5.2 a 8.3 (por ejemplo ea-php83 8.3.35-2.el7.cloudlinux.2 y ea-php74 7.4.33-18.el7.cloudlinux.13); compilaciones alt-php ELS de CloudLinux/TuxCare para 5.2 a 8.5 (por ejemplo alt-php85 8.5.11-5 y alt-php82 8.2.34-7); en Plesk, PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 más Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 para el PHP del propio panel; y paquetes de distribución para AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu y Debian. Muchos backports mantienen un número de versión antiguo, así que compare la cadena de compilación completa. Según Bluehost, si la versión que muestra phpinfo() coincide con una de la lista o es más reciente, el sitio está parcheado y no hay que hacer nada; quien gestione su propio VPS o servidor dedicado debe ejecutar una actualización de paquetes desde el panel, y se avisa por correo a los clientes que deban actuar. La actualización anterior (23:00 hora del este de EE. UU. del 21 de octubre) decía que la mayoría de los servidores estaban parcheados, con mitigaciones activas que pueden limitar el tamaño de las subidas. No da fecha de finalización.

Cómo comprobar la versión de PHP que usa Bluehost

Ejecute el comando de su configuración. Una versión igual o superior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12 en su rama está corregida; las ramas antiguas solo con una compilación del fabricante que lo indique.

php -v

El php de la línea de comandos puede no ser el PHP que sirve el sitio. Para asegurarse, revise la SAPI web (una página phpinfo() temporal tras autenticación, o los ajustes de PHP del panel) y elimínela después. Nuestro comprobador de versiones compara el número por usted.

🔎 ¿Tienes el número de versión? Pégalo en el comprobador PHP2Shell →

Cómo corregir PHP2Shell en Bluehost

Averigüe de dónde viene el PHP que ejecuta esta aplicación: su distribución, un repositorio de terceros (Ondřej Surý, Remi), un panel de hosting, una imagen Docker o su proveedor.
Actualice ese PHP a 8.2.35, 8.3.36, 8.4.27, 8.5.12 o a una compilación del fabricante con la corrección retroportada, y reinicie todos los workers de PHP.
En hosting compartido o gestionado no puede parchear PHP usted mismo: pregunte al proveedor si el PHP corregido está desplegado y cambie el sitio a una versión corregida en el panel.
Si el sitio sigue en PHP 8.1 o anterior, páselo a una rama con soporte; PHP solo publicó parches de código fuente para 7.4, 8.0 y 8.1.

¿Prefiere que lo compruebe un agente de IA? Comprobar si está afectado · Corregir con un agente de IA

Si todavía no puede parchear

Ponga session.upload_progress.enabled = 0 donde las aplicaciones no puedan cambiarlo (php.ini, php_admin_value en el pool FPM o la configuración de Apache) y reinicie PHP.
En PHP 8.5, ponga fatal_error_backtraces = 0.
Las medidas provisionales de PHP también incluyen memory_limit y un post_max_size bajo; siga exactamente la página de solución, porque estos ajustes solo cubren algunas vías.
Restrinja el acceso (VPN, lista de IP) o desconecte el servicio si usa PHP 8.1 o anterior sin retroportación del fabricante. Las reglas WAF ayudan, pero no son una corrección.

Preguntas frecuentes

¿Está Bluehost afectado por PHP2Shell?

Afectado; solo hay corrección para algunas versiones o componentes. El aviso de estado de Bluehost “PHP Updates” (publicado el 21 de octubre) dice en su última actualización, del 22 de octubre a las 10:00 hora del este de EE. UU. (14:00 UTC), que sus equipos han avanzado mucho en el despliegue de versiones parcheadas de PHP en toda su infraestructura, y ahora enumera esas versiones: en cPanel EasyApache 4, PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 más los backports del proveedor 8.1.34-5, 8.0.30-12 y 7.4.33-19; en CloudLinux EasyApache 4 para CentOS 7 / CloudLinux 7, backports para cada rama de 5.2 a 8.3 (por ejemplo ea-php83 8.3.35-2.el7.cloudlinux.2 y ea-php74 7.4.33-18.el7.cloudlinux.13); compilaciones alt-php ELS de CloudLinux/TuxCare para 5.2 a 8.5 (por ejemplo alt-php85 8.5.11-5 y alt-php82 8.2.34-7); en Plesk, PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 más Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 para el PHP del propio panel; y paquetes de distribución para AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu y Debian. Muchos backports mantienen un número de versión antiguo, así que compare la cadena de compilación completa. Según Bluehost, si la versión que muestra phpinfo() coincide con una de la lista o es más reciente, el sitio está parcheado y no hay que hacer nada; quien gestione su propio VPS o servidor dedicado debe ejecutar una actualización de paquetes desde el panel, y se avisa por correo a los clientes que deban actuar. La actualización anterior (23:00 hora del este de EE. UU. del 21 de octubre) decía que la mayoría de los servidores estaban parcheados, con mitigaciones activas que pueden limitar el tamaño de las subidas. No da fecha de finalización.

¿Actualizar Bluehost corrige CVE-2026-109618 y CVE-2026-109619?

Solo si la actualización incluye PHP corregido. PHP2Shell es un fallo del intérprete de PHP; lo que importa es el PHP sobre el que funciona Bluehost. Compruebe la versión tras actualizar.

¿Qué versiones de PHP corrigen PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores no reciben versión del proyecto PHP; solo las compilaciones de fabricantes con retroportación (o un parche de código fuente compilado por usted para 7.4, 8.0 y 8.1) los corrigen.

¿Y si Bluehost aún no tiene corrección?

Mantenga su interfaz web basada en PHP fuera de Internet (VPN o lista de IP), aplique los ajustes provisionales de PHP como desactivar session upload progress e instale la actualización del fabricante en cuanto salga. Los ajustes provisionales reducen el riesgo, pero no son una corrección.

← Todos los productos que incluyen PHP

Véase también: Solución por plataforma · Versiones afectadas · Estado de fabricantes

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

Resumen no oficial de fuentes públicas. Este sitio no está afiliado al fabricante ni al proyecto PHP y no aloja código de explotación.