Comprobador PHP2Shell: ¿mi versión de PHP está afectada?

Haz la comprobación PHP2Shell en cada entorno PHP: la CLI del host, cada pool de PHP-FPM, Apache mod_php y cada imagen de contenedor pueden usar versiones distintas.

Consejo: puedes pegar la primera línea de php -v, por ejemplo PHP 8.3.35 (cli) (built: …). El comprobador extrae el número de versión.

¿Mi versión de PHP está afectada por PHP2Shell?

• **Sí**, si usas PHP 8.2, 8.3, 8.4 u 8.5 por debajo de la versión corregida de la tabla.
• **Probablemente sí**, con PHP 5.4 a 8.1: estas ramas están sin soporte y el proyecto PHP no publicó ninguna versión. Algunas distribuciones aplican backports; consulta correcciones por distribución.
• **No afectado según el aviso**, si usas la versión corregida o posterior y reiniciaste todos los procesos PHP tras actualizar.

Cómo comprobar si tu servidor usa una versión de PHP vulnerable

Estos comandos de solo lectura muestran versiones únicamente en tus propias máquinas. Ejecútalos con el mismo usuario o en el mismo contenedor que el sitio y pega la versión en el comprobador PHP2Shell.

# 1. PHP version on the host (CLI)
php -v

# 2. PHP version inside each container
docker ps --format '{{.Names}}'
docker exec <container> php -v

# 3. Package version (shows distro backports)
dpkg -l | grep -E '^ii +php'          # Debian / Ubuntu
rpm -qa | grep -i '^php'              # RHEL / Alma / Rocky / Fedora / SUSE
apk info -v | grep -i '^php'          # Alpine

# 4. Version the web server actually runs (FPM / mod_php may differ from CLI)
php-fpm -v 2>/dev/null || ls /usr/sbin/php-fpm*

¿Qué versiones de PHP están corregidas?

• Versiones corregidas upstream: **8.5.12**, **8.4.27**, **8.3.36** y **8.2.35** (código fuente y builds de Windows en php.net).
• Paquetes de distribuciones: consulta correcciones por distribución.
• Tras actualizar, reinicia PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed o FrankenPHP y reconstruye los contenedores. Pasos: solución.

¿Escáner PHP2Shell o comprobación de versión?

• Una **comprobación de versión** (esta página) compara los números que indicas. Es segura, inmediata y funciona sin conexión, pero no ve backports ni si el código vulnerable es alcanzable.
• Un **escáner PHP2Shell** envía peticiones a un servidor. Úsalo solo en sistemas propios o que tengas autorización para probar. Este sitio no escanea ni sondea hosts de terceros.
• Muchos servidores ocultan la versión de PHP (expose_php = Off) y las comprobaciones remotas no los detectan. Comprobar desde el propio servidor es más fiable.

Comprobar productos que incluyen PHP

• Paneles de control, NAS, appliances y stacks todo en uno traen su propio PHP y se parchean según el calendario del fabricante: cPanel, Plesk, aaPanel, XAMPP, Bitnami, Coolify, CloudPanel, Synology, QNAP y más.
• Estado, comandos y correcciones por producto: productos.
• ¿Muchos hosts o contenedores? Deja que un agente de IA haga el inventario: comprobar con IA.

Si la comprobación PHP2Shell dice «afectado»

• Actualiza a la versión corregida de tu rama o instala la actualización de seguridad de tu distribución: solución.
• Reinicia todos los procesos PHP y confirma la nueva versión con php -v y una página phpinfo() temporal que borres enseguida.
• Si no puedes parchear pronto, valora desconectar el servicio temporalmente, como hicieron varias organizaciones: caídas.