PHP2Shell · paquetes de distribuciones · revisado el 22 de octubre de 2026
Correcciones de PHP2Shell comparadas entre distribuciones Linux
Los paquetes PHP de las distribuciones rara vez usan el número de php.net de la corrección. Debian y Ubuntu retroportan los parches a versiones antiguas: compare con la versión del paquete en el tracker de su distribución, no con 8.2.35 u 8.3.36.
Última actualización
Versiones corregidas por distribución
| Versión | Paquete fuente | Versión corregida | Estado | Tracker |
|---|---|---|---|---|
| Debian 12 bookworm | php8.2 | 8.2.35-1~deb12u1 (DLA-4848-1) | Corregido | Debian tracker |
| Debian 13 trixie | php8.4 | 8.4.27-1~deb13u1 (DSA-6574-1) | Corregido | Debian tracker |
| Debian forky (testing) | php8.4 | 8.4.26-1 | Vulnerable (testing) | Debian tracker |
| Debian sid | php8.4 | 8.4.27-1 | Corregido | Debian tracker |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corregido | Ubuntu CVE page |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | Corregido | Ubuntu CVE page |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corregido | Ubuntu CVE page |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | Corregido | Ubuntu CVE page |
| Ubuntu 20.04 LTS (Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Corregido | Ubuntu CVE page |
| Ubuntu 18.04 LTS (Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Corregido | Ubuntu CVE page |
| Ubuntu 16.04 LTS (Pro Legacy) | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Corregido | Ubuntu CVE page |
| Ubuntu 14.04 LTS (Pro Legacy) | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Corregido | Ubuntu CVE page |
| RHEL 8 / 9 / 10 | php | — | Afectado, corrección en curso | RHSB-2026-013 |
| AlmaLinux / Rocky Linux / Oracle Linux | php | — | Desconocido (no verificado) | — |
| SLES 15 SP7 (Web and Scripting) | php8 | 8.3.36-150700.3.24.1 | Corregido | SUSE CVE page |
| SLES 16.0 | php8 | 8.4.27-160000.1.1 | Corrección en QA | SUSE CVE page |
| SLES 15 SP4–SP6, LTSS | php7, php8 | — | Afectado, sin corrección aún | SUSE CVE page |
| openSUSE Leap 15.6 / 16.0 | php7, php8 | — | Afectado, sin corrección aún | SUSE CVE page |
| SUSE BCI php images | php8 | — | Afectado, sin corrección aún | SUSE CVE page |
| Alpine 3.23 | php83 | 8.3.36-r0 | Corregido | Alpine secdb |
| Alpine edge | php83 / php84 / php85 | 8.3.36-r0 / 8.4.27-r0 / 8.5.12-r0 | Corregido | Alpine secdb edge |
| Alpine 3.22 and older | php8x | — | Desconocido (no verificado) | — |
| Amazon Linux 2023 | php8.2 / 8.3 / 8.4 / 8.5 | ALAS2023-2026-3301 … 3304 | Corregido | ALAS CVE page |
| Amazon Linux 2023 | php8.1 | — | Sin corrección prevista | ALAS CVE page |
| Amazon Linux 2 (Extras php8.2) | php | ALAS2PHP8.2-2026-015 | Corregido | ALAS CVE page |
| Amazon Linux 2 (core) | php | — | Sin corrección prevista | ALAS CVE page |
| Fedora, Arch Linux, Gentoo | php | — | Desconocido (no verificado) | — |
Cómo leer la tabla
- Una versión como
8.3.6-0ubuntu0.24.04.13puede estar corregida aunque 8.3.6 sea muy inferior a 8.3.36. Los escáneres que solo comparan números upstream dan falsos positivos. - Red Hat, SUSE y Amazon califican ambos CVE como Important con CVSS v3 8.1 (complejidad alta); NVD da 9.8. Red Hat señala que RHEL usa PHP-FPM por defecto en lugar de mod_php, lo que dificulta la explotación, pero igualmente publica correcciones.
- Ubuntu 14.04 y 16.04 a 20.04 solo reciben correcciones mediante Ubuntu Pro.
- Los repositorios de terceros (PPA y DEB.SURY.ORG de Ondřej Surý, Remi, IUS, compilaciones de paneles) son paquetes aparte: vea Productos.
Aún sin corregir en un canal soportado
- RHEL 8, 9 y 10: según Red Hat, algunas actualizaciones están disponibles y otras en curso. Siga RHSB-2026-013 y ejecute
dnf updateinfo list --security. - SLES 15 SP4 a SP6, openSUSE Leap y las imágenes SUSE BCI php seguían afectados; SLES 16.0 tiene paquetes en QA.
- Amazon Linux 2023 php8.1 y el php del núcleo de Amazon Linux 2: sin corrección prevista. Cambie a php8.2 o posterior.
- Debian forky (testing) tenía 8.4.26-1 al revisar; la corrección está en sid como 8.4.27-1.
Compruebe qué paquete tiene
Estos comandos de solo lectura muestran la versión instalada. Compárela con la versión corregida de su versión exacta.
# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# Alpine
apk info -v | grep '^php'
# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm # or php-fpm, apache2, httpdUbuntu 24.04 muestra PHP 8.3.6. ¿Soy vulnerable?
No si el paquete es 8.3.6-0ubuntu0.24.04.13 o posterior. Ubuntu retroportó la corrección a su propio paquete 8.3.6.
¿RHEL es seguro porque usa PHP-FPM?
Red Hat dice que FPM dificulta la ejecución remota de código en la práctica, no la hace imposible, y lista RHEL 8, 9 y 10 como afectados. Instale las erratas cuando aparezcan.
¿Mi distribución figura como desconocida?
Consulte el tracker oficial de su proveedor. Si no hay paquete corregido, use una compilación oficial de PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12 o una imagen de contenedor mantenida.
¿Hay que reiniciar?
Sí. Los pools de PHP-FPM y Apache mod_php en ejecución mantienen el código antiguo hasta reiniciarse.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- CVE-2026-109618 — Debian Security Tracker
- CVE-2026-109619 — Debian Security Tracker
- CVE-2026-109618 — Ubuntu Security (Canonical)
- CVE-2026-109619 — Ubuntu Security (Canonical)
- CVE-2026-109618 — Red Hat Customer Portal
- RHSB-2026-013 Request handling memory corruption – php (php2shell) — Red Hat
- CVE-2026-109618 — SUSE
- CVE-2026-109618 — Amazon Linux Security Center
- community repository security fixes (v3.23) — Alpine Linux secdb
- community repository security fixes (edge) — Alpine Linux secdb
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)