Productos y entornos · Cortafuegos, appliances y herramientas de TI

PHP2Shell en PAN-OS: si está afectado y cómo corregirlo

Veredicto rápido

Afectado, y el fabricante aún no ha publicado una corrección.

Estado del fabricante: Afectado, aún sin corrección
PHP: bundled
Última comprobación: 2026-10-22

El aviso de Palo Alto indica PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 (todas las versiones) y Panorama como afectados, con versiones corregidas «ETA: TBD». Prisma Access, Cloud NGFW, GlobalProtect App, los productos Cortex y Prisma Cloud figuran como no afectados. Se pide a los clientes de Threat Prevention activar los Threat IDs 543004 y 97622–97625 (contenido 9162 o posterior), que solo protegen la interfaz de gestión si su tráfico entrante pasa por un puerto del plano de datos y se descifra. Palo Alto dice no tener constancia de explotación maliciosa de sus productos; el informe de Unit 42 afirma haber visto pruebas de concepto.

Cómo comprobar la versión de PHP que usa PAN-OS

Ejecute el comando de su configuración. Una versión igual o superior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12 en su rama está corregida; las ramas antiguas solo con una compilación del fabricante que lo indique.

show system info

El php de la línea de comandos puede no ser el PHP que sirve el sitio. Para asegurarse, revise la SAPI web (una página phpinfo() temporal tras autenticación, o los ajustes de PHP del panel) y elimínela después. Nuestro comprobador de versiones compara el número por usted.

🔎 ¿Tienes el número de versión? Pégalo en el comprobador PHP2Shell →

Cómo corregir PHP2Shell en PAN-OS

Limite la interfaz de gestión a IP internas de confianza; no la exponga a Internet.
Si depende de los Threat IDs 543004 y 97622–97625, haga pasar el tráfico de gestión por un puerto del plano de datos con descifrado; si no, las firmas no lo ven.
Siga el aviso para conocer las versiones corregidas de PAN-OS y Panorama e instálelas en cuanto salgan.
Hasta que el fabricante publique PHP corregido, la interfaz basada en PHP no debe ser accesible desde redes no fiables: limítela a una red de gestión, una lista de IP permitidas o una VPN.
Instale la actualización del fabricante en cuanto salga y vuelva a comprobar la versión.

¿Prefiere que lo compruebe un agente de IA? Comprobar si está afectado · Corregir con un agente de IA

Si todavía no puede parchear

Ponga session.upload_progress.enabled = 0 donde las aplicaciones no puedan cambiarlo (php.ini, php_admin_value en el pool FPM o la configuración de Apache) y reinicie PHP.
En PHP 8.5, ponga fatal_error_backtraces = 0.
Las medidas provisionales de PHP también incluyen memory_limit y un post_max_size bajo; siga exactamente la página de solución, porque estos ajustes solo cubren algunas vías.
Restrinja el acceso (VPN, lista de IP) o desconecte el servicio si usa PHP 8.1 o anterior sin retroportación del fabricante. Las reglas WAF ayudan, pero no son una corrección.

Preguntas frecuentes

¿Está PAN-OS afectado por PHP2Shell?

Afectado, y el fabricante aún no ha publicado una corrección. El aviso de Palo Alto indica PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 (todas las versiones) y Panorama como afectados, con versiones corregidas «ETA: TBD». Prisma Access, Cloud NGFW, GlobalProtect App, los productos Cortex y Prisma Cloud figuran como no afectados. Se pide a los clientes de Threat Prevention activar los Threat IDs 543004 y 97622–97625 (contenido 9162 o posterior), que solo protegen la interfaz de gestión si su tráfico entrante pasa por un puerto del plano de datos y se descifra. Palo Alto dice no tener constancia de explotación maliciosa de sus productos; el informe de Unit 42 afirma haber visto pruebas de concepto.

¿Actualizar PAN-OS corrige CVE-2026-109618 y CVE-2026-109619?

Solo si la actualización incluye PHP corregido. PHP2Shell es un fallo del intérprete de PHP; lo que importa es el PHP sobre el que funciona PAN-OS. Compruebe la versión tras actualizar.

¿Qué versiones de PHP corrigen PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores no reciben versión del proyecto PHP; solo las compilaciones de fabricantes con retroportación (o un parche de código fuente compilado por usted para 7.4, 8.0 y 8.1) los corrigen.

¿Y si PAN-OS aún no tiene corrección?

Mantenga su interfaz web basada en PHP fuera de Internet (VPN o lista de IP), aplique los ajustes provisionales de PHP como desactivar session upload progress e instale la actualización del fabricante en cuanto salga. Los ajustes provisionales reducen el riesgo, pero no son una corrección.

← Todos los productos que incluyen PHP

Véase también: Solución por plataforma · Versiones afectadas · Estado de fabricantes

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

Resumen no oficial de fuentes públicas. Este sitio no está afiliado al fabricante ni al proyecto PHP y no aloja código de explotación.