PHP 8.4
¿Está afectado PHP 8.4 por PHP2Shell?
El equipo de seguridad de PHP incluye PHP 8.4 anterior a 8.4.27 en la lista de versiones afectadas por ambas CVE. PHP 8.4.27 es la primera versión upstream de esta rama que las cierra. Una versión igual o superior a 8.4.27 es la comparación publicada por el proyecto; no demuestra que el servidor web se haya reiniciado con ese binario.
Última actualización
| Dato | Qué dice la fuente | Fuente |
|---|---|---|
| Rango afectado | PHP 8.4 anterior a 8.4.27 | oss-security |
| Corrección upstream | 8.4.27 el 21 de octubre de 2026 o una versión 8.4 posterior | php.net |
| Ambas CVE | Una sola versión cierra CVE-2026-109618 y CVE-2026-109619. No hay un segundo número de parche. | php.net |
| Gravedad | CVSS v4.0 9.2 para cada CVE, según el equipo de seguridad de PHP | oss-security |
| Dónde aplica | Instalaciones que atienden peticiones web. Apache mod_php es el mayor riesgo según PHP. PHP-FPM también está afectado. | php.net |
| Qué hacer | Actualizar a 8.4.27 o posterior y reiniciar los workers. La CISA aconseja parchear de inmediato. Un firewall no es una solución completa. | CISA; php.net |
Cómo leer una versión
Compare el triplete major.minor.patch con 8.4.27. Todo lo que esté por debajo en la rama 8.4 cae en el rango indicado por el equipo de seguridad. El comprobador de versión hace esta comparación en el navegador y no detecta si una distribución ha mantenido un número antiguo y entregado un backport con sufijo de paquete. En esta rama con soporte, la corrección upstream es en sí un salto de versión, así que un triplete inferior a 8.4.27 no es la corrección de php.net.
Tras la instalación, compruebe la SAPI que responde a HTTP, no solo php -v en una shell de administración. Reinicie php-fpm o Apache para que el nuevo binario atienda el tráfico. Los pasos para apt, dnf, Docker, cPanel y Plesk están en la página de corrección; la ruta de clics de 宝塔面板, en la página de BT Panel.
Otras ramas
- PHP 8.5Vulnerable antes de 8.5.12. Esta versión es la corrección upstream de ambas CVE.
- PHP 8.3Vulnerable antes de 8.3.36. Esta versión es la corrección upstream de ambas CVE.
- PHP 8.2Vulnerable antes de 8.2.35. Esta versión es la corrección upstream de ambas CVE.
- PHP 5 a 8.1Ninguna versión correctora oficial. Backports de código fuente solo para 7.4, 8.0 y 8.1.
- 宝塔面板 (BT Panel)El aviso del panel del 22 de octubre explica dónde difieren los números de paquete de php.net.
¿Es vulnerable PHP 8.4?
Sí, antes de 8.4.27. El mensaje de oss-security de Jakub Zelenka incluye PHP 8.4 por debajo de 8.4.27 entre las versiones afectadas por CVE-2026-109618, en la misma ventana de publicación que CVE-2026-109619. El aviso de php.net trata ambas juntas.
¿Qué versión de PHP 8.4 corrige la vulnerabilidad?
PHP 8.4.27, publicado el 21 de octubre de 2026, o una versión posterior de la rama 8.4. Es la corrección upstream de CVE-2026-109618 y CVE-2026-109619. Instálela y después reinicie Apache, PHP-FPM o la SAPI que sirve el sitio.
¿Corrige 8.4.27 ambas CVE?
El proyecto PHP publicó un único conjunto de versiones para ambos fallos. No hay un parche 8.4 separado para CVE-2026-109618 y otro para CVE-2026-109619.
¿Basta con un firewall o un cambio en php.ini?
No. Según el proyecto PHP, solo una actualización es una solución completa. Los ajustes provisionales reducen ciertas vías y figuran en la página de corrección. No sustituyen a PHP 8.4.27.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
- GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)