Alerta de seguridad · PHP2Shell
PHP2Shell: qué hacer en las próximas 72 horas
Dos fallos críticos en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2) permiten ejecución remota de código y lectura de memoria del servidor. Actualizar es el primer paso, no el último.
Solicitar propuesta Ver cómo funcionaPlazo típico: 72 h tras el acceso
Qué pasó
El 21/10/2026 el proyecto PHP corrigió dos fallos descubiertos por Wiz Research, Calif y OpenAI. Uno corrompe el estado de la petición cuando falta memoria; el otro reutiliza estado ya liberado y permite leer memoria del proceso — contraseñas, tokens y claves de API de otras peticiones — además de ejecutar código.
- Afectado: toda instalación PHP que sirve web: PHP-FPM, Apache con mod_php (mayor riesgo), php-cgi, FrankenPHP y LiteSpeed.
- Corregido: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores no tienen soporte oficial; hubo backports mínimos y varias distribuciones publicaron paquetes corregidos.
- Explotación: se observaron intentos de ataque antes y justo después de la divulgación. Wiz demostró ejecución sin autenticación contra WordPress, Drupal y Joomla.
Fuentes: Help Net Security, BleepingComputer, Wiz.
Haz esto ahora
- Inventario: ejecuta
php -ven cada servidor (no confíes en la cabecera web). - Actualiza a la versión corregida de tu rama o al paquete corregido de tu distribución (revisa el changelog).
- Mitigación parcial mientras tanto:
session.upload_progress.enabled=0,memory_limit=-1víaphp_admin_valuecon límite de memoria en el contenedor,post_max_sizebajo y reglas de WAF. Ninguna bloquea todo. - Rota secretos tras el parche: contraseñas de base de datos, claves de API y de cloud, salts de WordPress, secretos de sesión y tokens OAuth. Invalida las sesiones activas.
- Busca señales desde el 17/10: picos de errores 500 y falta de memoria, subidas multipart extrañas, web shells, nuevos administradores.
Verificación gratuita y pasiva
La Radiografía de Seguridad Externa ahora muestra señales de exposición a PHP2Shell en tu dominio: PHP y CMS detectados, versión declarada y servidor. Es pasiva — no envía ataques — y no sustituye comprobar la versión dentro del servidor.
Respuesta PHP2Shell en 72 horas
Alcance cerrado, propuesta con precio fijo en 24 h, entrega en 72 h tras recibir el acceso:
- Inventario de versión y SAPI de cada servidor y contenedor PHP.
- Revisión de logs en busca de explotación desde el 17/10.
- Plan priorizado de rotación de secretos.
- Informe ejecutivo y plan de corrección por servidor.
- Retest tras la corrección.
Actualizamos nuestro propio stack a PHP 8.4.27 y aplicamos las mitigaciones justo después de la divulgación.
Preguntas frecuentes
¿Actualizar PHP lo resuelve todo?
Cierra el fallo, pero no deshace lo que pudo filtrarse. Como CVE-2026-109619 permite leer memoria del proceso, rota secretos e invalida sesiones tras el parche.
Mi sitio está detrás de Cloudflare. ¿Estoy protegido?
En parte. Cloudflare publicó reglas de WAF para los vectores conocidos, pero son temporales. Actualiza PHP igualmente.
Uso PHP 7.4 u 8.1. ¿Y ahora?
Esas ramas no tienen soporte oficial. Comprueba si tu distribución publicó un paquete corregido; si no, planifica migrar a 8.2+ y aplica las mitigaciones mientras tanto.
¿La Radiografía confirma si soy vulnerable?
No. Muestra señales externas (PHP, CMS, versión declarada). Las distribuciones corrigen sin cambiar el número de versión, así que la confirmación se hace en el servidor.
Lee también
Otros servicios
Solicitar propuesta
Recibe una propuesta en 24h.
Cuéntanos qué necesitas probar. Un especialista — no un comercial — responde con alcance, plazo y precio.
- NDA disponible antes de cualquier detalle
- Atención en ES, PT y EN
- Facturación en la UE, Brasil o EE. UU.