RespuestasPublicado33 fuentes
PHP2Shell: las vulnerabilidades críticas de PHP y qué hacer ahora
PHP2Shell agrupa dos fallas críticas de seguridad de memoria en PHP que, bajo ciertas condiciones, pueden permitir ejecutar código de forma remota sin autenticación. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; hay que actualizar el entorno que atiende las solicitudes web y verificar que el camb...
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell agrupa dos fallas críticas de seguridad de memoria en PHP que, bajo ciertas condiciones, pueden permitir ejecutar código de forma remota sin autenticación.
- Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; hay que actualizar el entorno que atiende las solicitudes web y verificar que el cambio esté activo.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell es el nombre que reciben dos vulnerabilidades críticas del entorno de ejecución de PHP: CVE-2026-109618 y CVE-2026-109619. En ciertas condiciones, podrían permitir que un atacante ejecute código en un servidor sin necesidad de autenticarse. PHP publicó las correcciones el 21 de octubre de 2026, en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12.5
36 La prioridad es actualizar el entorno de PHP que atiende las solicitudes web —o instalar la corrección que proporcione el proveedor del producto— y comprobar que el servicio ya utiliza la versión corregida.
Qué hacen las dos vulnerabilidades
Las fallas afectan la seguridad de memoria del propio PHP, no necesariamente el código de una aplicación concreta. Los análisis describen problemas relacionados con memoria liberada o estado interno obsoleto durante operaciones del entorno de ejecución.6
9
- CVE-2026-109618 está relacionada con un uso después de liberar memoria en el manejo del progreso de carga de archivos. Wiz informa que puede exponer memoria de un proceso de PHP y que, en las condiciones que demostraron sus investigadores, podría contribuir a corromper memoria y ejecutar código.
6
- CVE-2026-109619 afecta el manejo de memoria durante la generación de trazas de errores fatales y la interacción con OPcache. Según el aviso de PHP, un proceso podría conservar estado interno obsoleto que una solicitud posterior atendida por el mismo trabajador llegara a utilizar.
36
Los reportes citados les asignan una puntuación de 9,2 en la escala CVSS.2
37 Wiz ha señalado que PHP se utiliza en alrededor del 70 % de internet, pero esa cifra se refiere al alcance estimado de la tecnología: no significa que el 70 % de los sitios sea vulnerable de la misma manera ni que hayan sido comprometidos.
6
Versiones afectadas y correcciones disponibles
Los reportes sitúan el rango vulnerable entre PHP 5.4 y 8.5.11.56 Las versiones de PHP que corrigen las fallas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
36 Si un sistema utiliza una versión anterior o que ya no tiene soporte, consulta con el distribuidor de PHP o con el proveedor del producto si hay una actualización compatible o una corrección retroportada. No des por hecho que siempre se puede instalar una versión estándar de PHP.
17
54
Actualizar el paquete de PHP no necesariamente basta si el sitio web o el dispositivo utiliza un entorno independiente o integrado. Confirma qué instalación atiende las solicitudes web y sigue las instrucciones del proveedor cuando un producto incluya PHP.5
54
La investigación contó con ayuda de IA, pero las fechas no coinciden del todo
La investigación se atribuye a Calif, OpenAI y Wiz, y las crónicas sobre el hallazgo mencionan la ayuda de modelos de inteligencia artificial.4
16 Sin embargo, las fechas publicadas varían: USA Today habla de un hallazgo inicial de Calif en julio y de otro descubrimiento independiente de Wiz en agosto; The Register sitúa el trabajo de los investigadores entre agosto y septiembre.
4
47 Otros reportes mencionan modelos de Google, pero la información disponible no precisa qué aportó cada modelo ni qué parte del proceso fue autónoma.
50
La distinción importa: la evidencia respalda que se trató de una investigación asistida por IA, no que un sistema de IA descubriera, verificara y corrigiera por sí solo ambas vulnerabilidades. Los reportes también señalan la participación de investigadores y mantenedores humanos.4
16
Qué significa la mención de PAN-OS
Palo Alto Networks publicó un aviso sobre el impacto de las dos vulnerabilidades de PHP en sus productos, entre ellos las familias de productos que incluyen PAN-OS.34
35 Esto no demuestra, por sí solo, que todas las instalaciones de PAN-OS estén expuestas a la misma vía de ataque que un servidor web con PHP. La exposición depende del producto, su configuración y las correcciones del proveedor.
Quienes administran esos sistemas deben consultar el aviso actualizado de Palo Alto Networks para comprobar la situación de su producto y versión, y seguir las instrucciones de actualización. No conviene tomar como confirmación de que una corrección está disponible un calendario de terceros: uno de los rastreadores que circulan advierte expresamente que la información sobre el estado de los proveedores fue generada por IA y que debe verificarse.21
Intentos de explotación no equivalen a intrusiones confirmadas
Un reporte de inteligencia de amenazas describió un intento de explotación registrado el 17 de octubre, antes de la divulgación técnica pública y de las correcciones de PHP, publicadas el 21 de octubre.53 Según Nextgov, el tráfico observado por Cloudflare pasó de miles de intentos a millones.
22 Esas cifras contabilizan intentos, no servidores cuya toma de control se haya confirmado.
Los reportes sobre explotaciones exitosas no han sido concluyentes. La BBC informó el 22 de octubre que hasta ese momento no se habían reportado explotaciones exitosas.18 Más tarde, Unit 42, de Palo Alto Networks, indicó que no podía confirmar que la actividad que inicialmente había relacionado con PHP2Shell se debiera a estas CVE específicas, y retiró su actualización anterior.
30 Con la información disponible, se han reportado intentos de explotación, pero no está claro si se han confirmado brechas exitosas atribuibles a PHP2Shell.
Según distintos reportes, gobiernos y empresas dejaron algunos servicios en línea fuera de servicio mientras preparaban o aplicaban las correcciones.26
51 Una interrupción preventiva no demuestra que la organización haya sufrido una intrusión.
Qué pueden hacer las organizaciones y quienes tienen un sitio web
- Localiza todas las instalaciones de PHP. Revisa sitios web, servidores de aplicaciones, contenedores, servicios de alojamiento y dispositivos. Pide a los proveedores de alojamiento o de servicios administrados que confirmen qué entorno utilizan y qué corrección corresponde.
- Instala una actualización verificada. Usa una versión corregida de PHP o un paquete del proveedor que incluya las correcciones. Para dispositivos y productos que incorporan PHP, sigue las instrucciones específicas del fabricante.
17
54
- Comprueba el servicio en uso. Verifica que se haya actualizado el entorno que atiende las solicitudes web, no solo una instalación de línea de comandos. Confirma también que los procesos o servicios necesarios estén funcionando con la versión corregida.
- Reduce la exposición si no puedes actualizar de inmediato. La NSA recomienda priorizar las correcciones del proveedor y dejar el sistema fuera de servicio si no es posible actualizarlo enseguida.
25
- Separa la investigación de la actualización. Actualizar cierra la vulnerabilidad, pero no permite saber si hubo una intrusión antes de aplicar el parche. Si hay motivos para sospecharlo, revisa los registros y la actividad del sistema.
Si tienes un sitio web pero no administras su servidor, contacta a tu proveedor de alojamiento o a la persona administradora y pregunta si actualizó PHP. No instales correcciones recibidas en mensajes inesperados: utiliza las instrucciones oficiales del proveedor.
La diferencia clave es sencilla: que un sistema sea vulnerable, que alguien intente explotarlo y que haya sido comprometido son afirmaciones distintas. Actualiza el entorno afectado, confirma con el proveedor qué corrección corresponde a productos como PAN-OS y evalúa por separado cualquier indicio de intrusión.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: las vulnerabilidades críticas de PHP y qué hacer ahora"?
PHP2Shell agrupa dos fallas críticas de seguridad de memoria en PHP que, bajo ciertas condiciones, pueden permitir ejecutar código de forma remota sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell agrupa dos fallas críticas de seguridad de memoria en PHP que, bajo ciertas condiciones, pueden permitir ejecutar código de forma remota sin autenticación. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; hay que actualizar el entorno que atiende las solicitudes web y verificar que el cambio esté activo.