No es php.net · No es NVD · No es CISA

Seguimiento de vulnerabilidades PHP

Informe no oficial sobre vulnerabilidades de seguridad en PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Alerta de seguridad

PHP2Shell: actualice PHP. Es la única solución completa.

CVE-2026-109618 y CVE-2026-109619 son vulnerabilidades críticas en el propio PHP que permiten ejecución remota de código sin autenticación. El proyecto PHP publicó correcciones el 21 de octubre de 2026 para las ramas con soporte 8.2 a 8.5. Reinicie PHP después de actualizar. Un cortafuegos no es un sustituto.

Pasos para corregir

Versiones afectadas

¿Qué versiones de PHP están afectadas por PHP2Shell?

Los únicos números de versión upstream que corrigen ambas CVE son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, o versiones posteriores de la misma rama. Para ramas más antiguas, cada afirmación necesita una salvedad, porque los análisis públicos no usan un rango común.

Última actualización

Estado upstream tras las versiones del 21 de octubre de 2026. «Corregido» significa que existe una versión oficial de PHP, no que sus paquetes ya la incluyan.
RamaEstado en las fuentes citadasCorrección upstream
8.5 antes de 8.5.12Incluida como afectada por el equipo de seguridad de PHP8.5.12
8.4 antes de 8.4.27Incluida como afectada por el equipo de seguridad de PHP8.4.27
8.3 antes de 8.3.36Incluida como afectada por el equipo de seguridad de PHP8.3.36
8.2 antes de 8.2.35Incluida como afectada por el equipo de seguridad de PHP8.2.35
8.1Sin versión oficial. PHP indica que publicó un backport mínimo de código fuente.Actualización o un backport verificado (proveedor / código fuente)
8.0 y 7.4Como 8.1: backports de código fuente, sin nueva versión upstream.Actualización o un backport verificado (proveedor / código fuente)
7.3 y anteriores, hasta 5.4Wiz, Google Cloud y Cloudflare describen impacto desde 5.4. Según Expel, PHP no se ha pronunciado sobre 7.3 y anteriores.Sin corrección upstream en estas líneas. Planifique la sustitución.
PHP 5 antes de 5.4No es el límite inferior para Wiz, Google Cloud ni Cloudflare. La FAQ de watchTowr anterior al aviso citaba PHP 5 en general.No exponer en Internet. Esta fila es incierta, no un certificado de seguridad.

Rama por rama

Las versiones antiguas de PHP tienen otros fallos críticos

Parchear PHP2Shell no hace segura una rama antigua. El proyecto independiente Vulnerability Charts recoge para cada versión de PHP la puntuación más alta conocida. Muestra, por ejemplo, que las versiones anteriores a mediados de 2026 de cada rama ya estaban expuestas a fallos críticos previos. Úsalo como panorama; la referencia es el changelog de PHP.

Ejemplo: 8.3.35 o PHP/8.2.34. El número de parche es obligatorio.

Aún no se ha comprobado nada. El resultado se queda en su navegador.

Por qué la tabla tiene un hueco por debajo de 8.2

El mensaje de oss-security de Jakub Zelenka cita como afectadas las cuatro ramas con soporte antes de sus respectivos niveles de parche. Esa frase se refiere a las versiones que el equipo de seguridad parcheó con publicaciones. Por sí sola no dice que 8.1 no esté afectada. El aviso de php.net indica que 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP, remite a los backports de distribuciones y proveedores LTS, y cita backports mínimos de código fuente para 7.4, 8.0 y 8.1 para quienes compilan por su cuenta. Un backport demuestra que esas tres ramas estaban afectadas, pero no es una versión con soporte que se pueda instalar desde php.net.

Wiz afirma que los fallos se remontan a PHP 5.4. Google Cloud escribe «todas las versiones de PHP de 5.4 a 8.5.11», Cloudflare «PHP 5.4 o posterior». ThreatCluster señala que session.upload_progress existe desde PHP 5.4.0 y está activado por defecto; es una vía para CVE-2026-109619, no la prueba de que todas las vías terminan en 5.4. watchTowr escribió el 20 de octubre que PHP 5, 7 y 8 estaban afectados en conjunto. El mensaje posterior de Expel es la corrección prudente: PHP no ha confirmado expresamente 7.3 y anteriores, pero todo PHP sin soporte expuesto a la web debe considerarse en riesgo de todos modos.

El comprobador solo compara números de versión

Se ejecuta por completo en su navegador y no envía la versión a ningún sitio. Puede decir si un triplete es al menos 8.2.35, 8.3.36, 8.4.27 u 8.5.12. No puede saber si Ubuntu, RHEL, cPanel o un proveedor de contenedores ha aplicado la corrección como backport sobre un número más antiguo, ni qué binario ha cargado realmente su servidor web. Tras actualizar, compare php-fpm -v o el build del módulo de Apache, reinicie el servicio y vuelva a comprobar.

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  5. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  8. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  9. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  10. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  11. Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security
  12. PHP: per-version vulnerability chart — Vulnerability Charts (independent project)