RespuestasPublicado23 fuentes
PHP2Shell: dos fallas críticas en PHP y las versiones que las corrigen
PHP2Shell reúne dos vulnerabilidades críticas, ambas con una puntuación de 9,2 en CVSS v4.0, que pueden permitir ejecutar código de forma remota sin autenticación. Los problemas afectan la gestión de errores de memoria y el estado interno de PHP.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell reúne dos vulnerabilidades críticas, ambas con una puntuación de 9,2 en CVSS v4.0, que pueden permitir ejecutar código de forma remota sin autenticación.
- Los problemas afectan la gestión de errores de memoria y el estado interno de PHP.
- Amazon detectó un intento contra un señuelo antes de la divulgación pública. Ese registro no confirma una intrusión en un sistema real ni permite concluir que los ataques hayan sido generalizados.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell es el nombre que se da a dos vulnerabilidades críticas del núcleo de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación de 9,2 —Crítica— según CVSS v4.0 y podrían permitir que un atacante ejecute código en un servidor vulnerable sin autenticarse. El proyecto PHP publicó correcciones de emergencia el 21 de octubre de 2026. 
La prioridad para quienes administran servidores es actualizar PHP. Los intentos de explotación reportados —incluido uno observado por Amazon en un sistema señuelo antes de la divulgación pública— justifican actuar con rapidez, pero no prueban que se haya vulnerado un sistema de producción. 36
Qué hacen las dos vulnerabilidades
Los problemas tienen mecanismos distintos, según los informes disponibles:
- CVE-2026-109618 afecta el manejo de errores por falta de memoria. Si PHP se queda sin memoria, puede interrumpir el procesamiento cuando algunos datos internos de la solicitud todavía no están inicializados por completo. Durante la limpieza, podría tratar datos no válidos como si fueran correctos.
58
- CVE-2026-109619 está relacionada con un estado interno obsoleto. La información asociada a una solicitud puede permanecer después de que se libera la memoria que la almacenaba, lo que genera un problema de uso después de liberar memoria.
9
Las fallas se relacionan con la forma en que PHP procesa solicitudes HTTP especialmente preparadas, incluidas las que usan multipart/form-data, un formato habitual para enviar archivos mediante formularios. 1
Por qué la puntuación es 9,2
Las dos vulnerabilidades están clasificadas como Críticas, con una puntuación de 9,2 sobre 10 en CVSS v4.0. Un factor central del riesgo es que podrían permitir ejecución remota de código sin autenticación: el atacante no necesita iniciar sesión para intentar ejecutar código en un servidor afectado.
Las fuentes disponibles no incluyen los vectores CVSS completos, por lo que no permiten desglosar con precisión cómo cada componente del cálculo lleva a esa puntuación. La calificación expresa la gravedad, pero no determina la probabilidad de ataque contra un servidor concreto ni demuestra que un intento haya tenido éxito.
Versiones afectadas y actualizaciones disponibles
Los informes sitúan el inicio del rango vulnerable en PHP 5.4. 55 Para las ramas 8.x, las versiones de emergencia que corrigen las fallas son:
| Rama de PHP | Versión corregida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Estas versiones se publicaron el 21 de octubre de 2026. Actualiza a la versión corregida de tu rama o a una posterior dentro de esa misma rama.
Las correcciones enumeradas cubren las ramas 8.2 a 8.5. Si el sistema usa una rama anterior o sin soporte, consulta las indicaciones del distribuidor de PHP o del proveedor del sistema operativo. No des por hecho que una de las versiones de la tabla se aplica directamente a esa instalación.
Intentos de explotación no equivalen a brechas confirmadas
Las vulnerabilidades se hicieron públicas el 20 de octubre, antes de la divulgación prevista para el 22. PHP publicó las correcciones de emergencia al día siguiente. 8
42 Las fuentes respaldan que la información se divulgó antes de lo previsto y que los parches se adelantaron, pero no confirman que un video de demostración publicado por error por Calif haya sido el detonante.
Amazon Threat Intelligence informó que encontró en los registros de su sistema señuelo MadPot un intento de explotación fechado el 17 de octubre, cuatro días antes de la divulgación pública. También dijo haber identificado pruebas de concepto alrededor del lanzamiento del 21 de octubre. La actividad registrada en un señuelo apunta a un sistema de prueba, no confirma que una organización real haya sido comprometida.
Cloudflare informó que desplegó protecciones en torno a la divulgación, y reportes de esos días describieron tráfico o intentos de ataque observados por empresas de seguridad. 55
35 Sin embargo, las afirmaciones sobre el alcance y el éxito de la explotación no coincidían: algunos proveedores hablaron de actividad activa o extendida, mientras que otros reportes señalaron que organismos oficiales no habían confirmado ataques exitosos.
33
36
La evidencia justifica tomarse en serio los intentos, pero no permite considerar cada intento una intrusión consumada ni concluir que los ataques hayan sido generalizados. Al revisar alertas e incidentes, conviene distinguir entre un intento, un exploit funcional y una vulneración confirmada en producción.
Qué hacer mientras se instala el parche
La medida principal es instalar la versión corregida de PHP. AWS indica que actualizar es la única solución completa. Si no es posible aplicar el parche de inmediato, bloquear temporalmente las cargas de archivos multipart puede reducir la exposición, pero no sustituye la actualización.
El Centro Canadiense para la Ciberseguridad publicó una alerta crítica sobre las fallas y el riesgo de ejecución de código sin autenticación. 2 Las fuentes disponibles también informan que la NSA recomendó desconectar los sistemas si no podían actualizarse de inmediato.
27 Sigue las alertas aplicables a tu entorno, en especial si PHP viene integrado en un producto o lo gestiona una empresa de alojamiento.
La recomendación práctica es clara: identifica dónde se ejecuta PHP, instala la actualización adecuada e investiga las alertas sin confundir un intento con una intrusión confirmada. La gravedad de PHP2Shell exige actuar pronto; no cambia, sin embargo, la diferencia entre un intento, un exploit funcional y una brecha comprobada.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: dos fallas críticas en PHP y las versiones que las corrigen"?
PHP2Shell reúne dos vulnerabilidades críticas, ambas con una puntuación de 9,2 en CVSS v4.0, que pueden permitir ejecutar código de forma remota sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell reúne dos vulnerabilidades críticas, ambas con una puntuación de 9,2 en CVSS v4.0, que pueden permitir ejecutar código de forma remota sin autenticación. Los problemas afectan la gestión de errores de memoria y el estado interno de PHP.
¿Qué debo hacer a continuación en la práctica?
Amazon detectó un intento contra un señuelo antes de la divulgación pública. Ese registro no confirma una intrusión en un sistema real ni permite concluir que los ataques hayan sido generalizados.