No es php.net · No es NVD · No es CISA

Seguimiento de vulnerabilidades PHP

Informe no oficial sobre vulnerabilidades de seguridad en PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Alerta de seguridad

PHP2Shell: actualice PHP. Es la única solución completa.

CVE-2026-109618 y CVE-2026-109619 son vulnerabilidades críticas en el propio PHP que permiten ejecución remota de código sin autenticación. El proyecto PHP publicó correcciones el 21 de octubre de 2026 para las ramas con soporte 8.2 a 8.5. Reinicie PHP después de actualizar. Un cortafuegos no es un sustituto.

Pasos para corregir

Estado de los fabricantes

Estado de los fabricantes ante PHP2Shell: quién ha parcheado y quién sigue investigando

Son declaraciones de los fabricantes sobre sus propios productos, leídas el 22 de octubre de 2026. Un paquete parcheado de una distribución no significa que todos los binarios de PHP de un servidor procedan de esa distribución. Un fabricante que indica «ningún producto conocido como afectado» describe el estado de una investigación, no un resultado definitivo.

Última actualización

Estado en palabras del fabricante. Las fechas son las de los documentos.
FabricanteDeclaración del fabricanteFecha de la fuente
CiscoInvestiga qué productos y servicios en la nube podrían estar afectados. En la publicación no se conocía ningún producto afectado y la sección «confirmados no vulnerables» seguía vacía. El PSIRT no tiene constancia de uso malicioso contra Cisco. No hay ninguna solución alternativa que corrija los fallos.Primera publicación el 21 de octubre de 2026, 19:12 GMT
Red HatParcialmente corregido. RHSB-2026-013: las correcciones se aceleran, algunas actualizaciones están disponibles y otras en preparación. RHEL 10, 9, 8 y OpenShift Dev Spaces 3 están afectados directamente. PHP-FPM por defecto en RHEL sería más difícil de explotar que mod_php. Erratas como RHSA-2026:87151 (RHEL 9 php), RHSA-2026:87080 (RHEL 8 php) y RHSA-2026:87079 (RHEL 9 php:8.3) citan ambas CVE. La investigación continúa.Público el 21 de octubre de 2026
UbuntuCorregido para las versiones con soporte, incluidos Ubuntu Pro y los builds Legacy ESM hasta el php5 de 14.04. Ejemplos: 24.04 php8.3 en 8.3.6-0ubuntu0.24.04.13, 22.04 php8.1 en 8.1.2-1ubuntu2.28, 26.04 php8.5 en 8.5.4-0ubuntu1.5. El número de versión upstream a menudo no cambia. Reinicie los servicios que usan PHP tras la actualización.Entrada de blog del 21 de octubre de 2026
DebianCorregido para las versiones estables. DLA-4848-1: Debian 12 bookworm php8.2 8.2.35-1~deb12u1 (Debian LTS). DSA-6574-1: Debian 13 trixie php8.4 8.4.27-1~deb13u1. El 22 de octubre, el security tracker seguía marcando testing (forky) php8.4 8.4.26-1 como vulnerable.Avisos del 21 de octubre de 2026
cPanelCorregido para los builds indicados: ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27 y ea-php85 8.5.12, además de los backports ea-php74 7.4.33-19, ea-php80 8.0.30-12 y ea-php81 8.1.34-5. Entre las versiones parcheadas de cPanel & WHM están 11.110.0.153, 11.134.0.66, 11.136.0.50 y 11.138.0.18. PHP anterior a 7.4 se remite a TuxCare ELS; una tabla de CloudLinux remite a la página de estado de CloudLinux.Actualizado el 22 de octubre de 2026
PleskCorregido, con una salvedad sobre la fecha de build en las ramas antiguas. Correcciones para Linux y Windows para PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones EOL 7.4.33, 8.0.30 y 8.1.34 mantienen su número; los builds del 21 de octubre de 2026 incluyen la corrección. El sw-engine propio del panel está corregido en Plesk Obsidian 18.0.81 Update 4 y 18.0.80 Update 11.Artículo del fabricante referido a la versión de PHP del 21 de octubre
SophosProductos de Sophos: no afectados. Aviso sophos-sa-20261021-php2shell: ningún producto afectado, no se requiere ninguna acción. Por otra parte, el antiguo portal de licencias MyUTM usaba una versión de PHP afectada; Sophos lo desconectó el 21 de octubre, una revisión de registros no ha mostrado hasta ahora indicios de explotación y la revisión continúa.Actualizado el 21 de octubre de 2026
Palo Alto NetworksAfectado, sin corrección aún para PAN-OS. El aviso lista PAN-OS 12.2, 12.1, 11.2, 11.1 y 10.2 (todas las versiones) y Panorama como afectados, con versiones corregidas «ETA: TBD». Prisma Access, Cloud NGFW, GlobalProtect App, los productos Cortex y Prisma Cloud figuran como no afectados. Mientras tanto, pide a los clientes de Threat Prevention activar los Threat ID 543004 y 97622–97625 (contenido 9162 o posterior), que solo protegen la interfaz de gestión si su tráfico entrante pasa por un puerto del plano de datos y se descifra para inspección. Palo Alto dice no tener constancia de explotación maliciosa contra sus productos. El informe de Unit 42 dice haber visto pruebas de concepto y que al menos un gobierno europeo desconectó su sitio web por precaución.Publicado el 21 de octubre de 2026, actualizado el 21 de octubre 23:33 UTC
AWSSegún el boletín 2026-143-AWS, los servicios de AWS no están afectados; los clientes que ejecutan PHP afectado en los servicios indicados sí podrían estarlo. Amazon WorkMail: controles de configuración aplicados, actualización a PHP 8.3.36 prevista para el 22 de octubre, sin acción del cliente. Elastic Beanstalk: las versiones de plataforma PHP v4.13.12, publicadas el 21 de octubre, abordan ambas CVE; una versión de plataforma posterior con la corrección oficial de PHP está prevista para el 22 de octubre. Con Managed Platform Updates llega en la siguiente ventana de mantenimiento; si no, actualice usted la versión de plataforma del entorno. Amazon Linux: paquetes PHP actualizados disponibles en las regiones comerciales, regiones no comerciales previstas para el 22 de octubre; detalles en el Amazon Linux Security Center. Lightsail: blueprints actualizados previstos para el 21 de octubre; AWS no puede actualizar las instancias en ejecución, así que hay que crear instancias nuevas a partir de los blueprints actualizados y migrar. PHP 5.4 a 8.1 no tiene corrección oficial; AWS pide migrar a una rama con soporte.Publicado el 21 de octubre de 2026, 14:30 PDT; última actualización 20:30 PDT (22 de octubre, 03:30 UTC)

Cómo leer «corregido»

El paquete parcheado de Ubuntu 24.04 sigue siendo PHP 8.3.6 con una nueva revisión de paquete. Los builds parcheados de Plesk para 7.4, 8.0 y 8.1 mantienen su número de versión y cambian la fecha de build. Comparar php -v con 8.3.36 clasifica mal esos hosts. Use el dato de paquete publicado por el fabricante o la fecha de build, y reinicie la SAPI que responde a HTTP. El comprobador de versión solo compara números de versión upstream y no detecta backports.

Ningún informe público sobre un sitio conocido comprometido

A 22 de octubre de 2026, las fuentes revisadas para esta página no contienen ningún informe público de que un sitio conocido haya sido comprometido mediante PHP2Shell. Reuters, citando a Cloudflare, informó de millones de intentos de explotación y describió que sitios gubernamentales en Europa y otros lugares se desconectaron, así como restricciones temporales en Mitsubishi UFJ Financial Group y en el Ministerio de Finanzas de Japón como medidas de emergencia. Sophos indica que su portal MyUTM desconectado no muestra hasta ahora indicios de explotación. AWS indica que no está claro si los intentos observados habrían tenido éxito en sistemas reales, y la CISA no había observado explotación hasta su alerta del 21 de octubre. La ausencia de un informe de víctimas no demuestra que no haya habido ningún compromiso; describe lo que estas fuentes han publicado.

Microsoft Azure App Service

Corregido para PHP con soporte en las imágenes Linux integradas. Según el equipo de App Service, las imágenes con PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12 llegaron a los canales Latest y Standard el 21 de octubre de 2026; Extended las recibe al final. Los contenedores personalizados, el PHP propio, las versiones sin soporte y las imágenes de WordPress basadas en Alpine no se parchean. Pasos: página de Azure App Service.

Sobre las puntuaciones: la publicación de Azure cita la puntuación CVSS v4.0 de 9.2 que el equipo de seguridad de PHP dio a los dos CVE y la hora de publicación del 21 de octubre a las 14:00 UTC. La puntuación principal del NVD para CVE-2026-109618 es CVSS v3.1 9.8 (NVD). Es el mismo fallo, medido con versiones distintas de CVSS.

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  3. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  4. php2shell — PHP critical vulnerability fixes available — Ubuntu
  5. DLA-4848-1: php8.2 security update (Debian 12 bookworm) — Debian LTS
  6. DSA-6574-1: php8.4 security update (Debian 13 trixie) — Debian
  7. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  8. Remote code execution in PHP shipped with Plesk — Plesk
  9. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD