Preguntas frecuentes
Preguntas frecuentes sobre PHP2Shell: lo que preguntan los administradores sobre la vulnerabilidad de PHP
Las respuestas siguen las fuentes públicas enlazadas más abajo. Cuando se contradicen, la respuesta lo dice en lugar de promediar.
Última actualización
¿Qué es PHP2Shell?
Un nombre colectivo para CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas del motor de PHP. Según el proyecto PHP, pueden permitir la ejecución remota de código sin autenticación en un PHP que atiende peticiones web. La CISA escribe el apodo como «php2shell».
¿Qué versiones están corregidas?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, o versiones posteriores de esas ramas. Se publicaron el 21 de octubre de 2026. PHP 8.1 y anteriores no recibieron versión oficial. Existen backports mínimos de código fuente para 7.4, 8.0 y 8.1.
¿Es la actualización la única solución completa?
Sí, según el proyecto PHP y AWS. Cambiar memory_limit, reducir post_max_size, desactivar el progreso de subida de sesión y usar un firewall de aplicaciones web son medidas provisionales. Según PHP, no hacen segura una instalación.
¿Están afectados tanto mod_php como PHP-FPM?
PHP cita ambos, además de php-cgi, FrankenPHP y LiteSpeed. El mayor riesgo está en mod_php, con un exploit demostrado sin autenticación antes del código de la aplicación. FPM también está incluido. La PHP Foundation y oss-security ponderan FPM de forma algo distinta; ambas dicen que hay que parchear FPM.
¿Se está explotando?
Intentos: sí, según AWS, Cloudflare y watchTowr. AWS fecha un intento en un honeypot el 17 de octubre de 2026, cuatro días antes de la divulgación. Ningún compromiso exitoso de sistemas de producción reales ha sido confirmado por la alerta de la CISA, el artículo de SecurityWeek sobre los sensores de watchTowr, la publicación de AWS (el éxito en sistemas reales no está claro) ni la nota a clientes de Expel a 21 de octubre, 20:00 UTC.
¿Están las CVE en el catálogo Known Exploited Vulnerabilities de la CISA?
Según Expel, ninguna de las dos figuraba el 21 de octubre de 2026 a las 20:00 UTC. Tanium describe una actualización del catálogo ese mismo día a las 14:04 UTC sin ellas. La FAQ de watchTowr del 22 de octubre sigue diciendo: no incluidas. Este sitio volvió a consultar el feed JSON del KEV de la CISA el 22 de octubre de 2026 hacia las 08:05 UTC: la versión 2026.10.21 del catálogo (publicada el 21 de octubre a las 14:04 UTC) seguía sin incluir ninguna de las dos CVE. Consulte el catálogo actual; este sitio no lo consulta en cada visita.
¿Qué pasa con PHP 8.1 y anteriores, incluido PHP 5?
No hay para ellas ninguna versión oficial del 21 de octubre. Wiz, Google Cloud y Cloudflare describen versiones afectadas desde PHP 5.4 hasta los builds 8.5 sin parchear. watchTowr hablaba de PHP 5 en adelante. Expel señala que PHP no ha confirmado expresamente 7.3 y anteriores en el material revisado, y aun así aconseja tratar como en riesgo el PHP sin soporte expuesto a la web. Actualice o desconecte.
¿Sustituye un WAF al parche?
No. La CISA indica que un WAF puede ofrecer cierta protección hasta el parche. Cloudflare desplegó reglas y aun así aconseja a sus clientes parchear. Según el proyecto PHP, solo una actualización es completa.
¿Cuántos servidores están expuestos?
The Record informa de un análisis de VirusTotal de unos 5,1 millones de direcciones IP con PHP, no de 5,1 millones de hosts vulnerables confirmados. Según ThreatCluster, alrededor de 1,1 millones de ellas indican una versión. Wiz y Cloudflare citan por separado la cuota de PHP entre los sitios web, cercana al 70 %. Son mediciones distintas.
¿Publican código de explotación o una prueba de concepto?
No. Informes públicos indican que existe código de prueba de concepto. Expel advierte de que parte del código que circula no está verificado y puede ser malicioso. Este sitio enlaza avisos y no aloja payloads ni guías de ataque.
¿Es este un sitio oficial de PHP, la NVD o la CISA?
No. phpvulnerabilities.app es un informe independiente sin relación con el PHP Group, php.net, la NVD, el NIST ni la CISA. Lea los avisos enlazados antes de actuar y deles prioridad en caso de contradicción.
¿Y si no puedo parchear hoy?
La CISA aconseja desconectar el PHP expuesto públicamente hasta la actualización, sobre todo PHP 8.1 y anteriores. Si tiene que seguir funcionando un poco, aplique los ajustes incompletos de la página de corrección, ponga un WAF delante y planifique la actualización en horas, no en una ventana de parches de 30 días. Esto último es la lección que AWS extrae de este evento, no una promesa de que unas horas basten siempre.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Known Exploited Vulnerabilities catalog — CISA
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record