Fin de soporte
¿Está afectado PHP 5 a 8.1 y qué versión lo corrige?
No hay ninguna versión oficial de PHP que corrija estas dos CVE en PHP 8.1 o anterior. El proyecto PHP solo publicó backports mínimos de código fuente para 7.4, 8.0 y 8.1. Por debajo de eso, los análisis citados no coinciden en el rango, así que esta página conserva la contradicción en lugar de suavizarla.
Última actualización
| Afirmación | Qué dice esta fuente | Fuente |
|---|---|---|
| Ramas corregidas por PHP con una versión | 8.2 antes de 8.2.35, 8.3 antes de 8.3.36, 8.4 antes de 8.4.27, 8.5 antes de 8.5.12 | oss-security |
| PHP 8.1 y anteriores | Sin más actualizaciones del proyecto PHP. Backports mínimos de código fuente solo para 7.4, 8.0 y 8.1, para quien compile por su cuenta. | php.net |
| Límite inferior según Google Cloud | Todas las versiones de PHP 5.4 a 8.5.11 | Google Cloud |
| Límite inferior según Cloudflare | PHP 5.4 o posterior | Cloudflare |
| Wiz | Los fallos se remontan a PHP 5.4; prácticamente todas las versiones de la última década están afectadas por al menos uno | Wiz |
| watchTowr, FAQ del 20 de octubre | PHP 5, 7 y 8 en general. Escrita antes del aviso definitivo. | FAQ de watchTowr |
| Corrección de Expel | Los backports muestran 7.4, 8.0 y 8.1 como afectados. PHP no confirmó expresamente 7.3 y anteriores en el material revisado. | Expel |
| Si no es posible actualizar | Desconectar el sistema, expresamente también PHP 8.1 y anteriores | CISA |
| Ninguna versión de PHP | Los paquetes Linux 7.4.34, 8.0.31 y 8.1.35 de 宝塔 son builds del panel; según el aviso incluyen ambas correcciones. Windows no recibe estos tres paquetes. | aviso de 宝塔 |
Qué puede significar «corregido» en estas ramas
Un número de versión como 8.1.34 o 7.4.33 no indica si se ha instalado un backport de la distribución. Por eso el comprobador clasifica estas ramas como fin de soporte. cPanel y Plesk han publicado sus propias referencias de build; consulte la página de fabricantes. Los números de 宝塔 solo aparecen en la página de BT Panel, y allí solo se reivindican los paquetes Linux para 7.4, 8.0 y 8.1.
La salida con soporte de esta página es actualizar a 8.2.35, 8.3.36, 8.4.27 u 8.5.12. PHP 5 anterior a 5.4 no es el límite inferior para Wiz, Google Cloud ni Cloudflare, y aun así no es una versión que deba estar en internet.
Ramas con soporte
- PHP 8.5Vulnerable antes de 8.5.12. 8.5.12 es la corrección upstream.
- PHP 8.4Vulnerable antes de 8.4.27. 8.4.27 es la corrección upstream.
- PHP 8.3Vulnerable antes de 8.3.36. 8.3.36 es la corrección upstream.
- PHP 8.2Vulnerable antes de 8.2.35. 8.2.35 es la corrección upstream.
¿Está afectado PHP 8.1?
PHP no publicó ninguna versión 8.1 el 21 de octubre de 2026, pero sí un backport mínimo de código fuente para 8.1: prueba de que 8.1 estaba afectado, pero no un paquete instalable de php.net. La CISA aconseja desconectar PHP 8.1 y anteriores si no es posible actualizar. Un build de proveedor puede incluir el backport sin un nuevo número de versión upstream, por eso el comprobador de versión no lo detecta.
¿Están afectados PHP 7.4 u 8.0?
Igual que 8.1: ninguna nueva versión oficial, pero hay un backport mínimo de código fuente para ambos. Expel considera afectados 7.4, 8.0 y 8.1 basándose en los backports. Actualice a 8.2.35 o posterior, o confirme un backport concreto e identificable de un proveedor.
¿Están afectados PHP 5.4 o PHP 7.3 y anteriores?
Wiz, Google Cloud y Cloudflare describen impacto desde PHP 5.4 hasta los últimos builds 8.5 anteriores al parche. La FAQ de watchTowr anterior al aviso mencionaba PHP 5, 7 y 8 en general. Expel indica que PHP no confirmó expresamente 7.3 y anteriores en el material revisado. Esta fila es una contradicción, no una garantía. No deje estas versiones expuestas a internet.
¿Qué versión corrige PHP 5 a 8.1?
Ninguna versión oficial de PHP en estas ramas. Las correcciones con soporte son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Algunos proveedores distribuyen paquetes propios: el aviso de Linux de 宝塔 menciona 7.4.34, 8.0.31 y 8.1.35, y esos números no son versiones del proyecto PHP.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)