RespuestasPublicado22 fuentes
PHP2Shell: las fallas críticas de PHP y las versiones que debes actualizar
PHP2Shell agrupa dos vulnerabilidades críticas de PHP, ambas con una puntuación CVSS v4.0 de 9,2 y riesgo de ejecución remota de código sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; las actualizaciones se publicaron el 21 de octubre de 2026, antes de la fecha prevista.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell agrupa dos vulnerabilidades críticas de PHP, ambas con una puntuación CVSS v4.0 de 9,2 y riesgo de ejecución remota de código sin autenticación.
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; las actualizaciones se publicaron el 21 de octubre de 2026, antes de la fecha prevista.
- Se registraron intentos de explotación, pero los datos disponibles no demuestran que todos tuvieran éxito ni permiten calcular cuántos sistemas fueron comprometidos.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell es el nombre con el que se conocen dos vulnerabilidades críticas del propio PHP: CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de 9,2 sobre 10 en CVSS v4.0 y podrían permitir que un atacante ejecute código en un servidor sin autenticarse. PHP publicó las correcciones el 21 de octubre de 2026, antes de lo previsto, después de que los identificadores de las fallas se filtraran. 1
3
14
La urgencia es real: se reportaron intentos de explotación y algunas organizaciones desconectaron servicios como medida preventiva. Pero los intentos detectados no equivalen, por sí solos, a una brecha confirmada. 19
36
Qué falló y por qué importa la versión de PHP
Las vulnerabilidades están en el manejo de solicitudes y la memoria del entorno de ejecución de PHP, no en un framework o sitio web concreto. CVE-2026-109618 está relacionada con el manejo de una condición de falta de memoria; CVE-2026-109619, con un estado interno obsoleto. El riesgo descrito es la ejecución remota de código sin autenticación. 1
14
Por eso, que una aplicación no tenga una falla conocida en su propio código no basta para descartarlo: importa la versión de PHP que usa el servidor. La guía operativa incluye entre los sistemas que deben revisarse las instalaciones que atienden solicitudes web. 55
Versiones corregidas de PHP
PHP publicó las actualizaciones el 21 de octubre de 2026. Las versiones corregidas que se indican son: 14
55
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si un servidor utiliza una versión anterior de una de esas ramas, debe actualizarse a la versión corregida correspondiente. La divulgación estaba prevista para el 22 de octubre, pero los detalles aparecieron antes y adelantaron la publicación de los parches. 3
13
33
Cómo se filtraron los identificadores
El 20 de octubre apareció en Hacker News una publicación que mencionaba los dos CVE y afirmaba que los detalles se harían públicos el día 22. La publicación se retiró, pero ya circulaban capturas de pantalla. Investigadores confirmaron después que la información era auténtica y estaba bajo embargo, es decir, su divulgación se había coordinado para una fecha posterior. 3
Según la cobertura disponible, Calif identificó una de las fallas con ayuda de un modelo de OpenAI. Wiz también descubrió y reportó las vulnerabilidades de forma independiente. La información publicada no permite determinar qué equipo encontró cada CVE ni confirma que las fallas llevaran unos 20 años en el código. 27
33
Sitios desconectados y recomendaciones
Algunas organizaciones dejaron servicios fuera de línea como precaución mientras evaluaban el riesgo. Entre los casos citados están servicios relacionados con el Ministerio de Finanzas de Japón, BambooHR, el Puerto de Róterdam y Wikimedia, la fundación que opera Wikipedia. Que un servicio haya estado fuera de línea no demuestra que sufriera una intrusión. 19
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) recomendó aplicar los parches de inmediato en organizaciones que utilizan sitios basados en PHP. 33 La información disponible no confirma un recuento completo de los cierres preventivos ni todas las afirmaciones sobre hospitales, escuelas y organismos públicos afectados.
Qué muestran —y qué no— los reportes de explotación
- Amazon dijo que su honeypot MadPot, un sistema señuelo diseñado para registrar actividad maliciosa, detectó un intento el 17 de octubre, antes de que PHP publicara los parches. Eso confirma un intento contra ese sensor, no una intrusión exitosa en otros sistemas.
50
58
- Cloudflare informó miles de intentos durante las diez horas previas al anuncio público y millones después. Esas cifras describen intentos observados en su red, no servidores comprometidos.
36
- CISA dijo que, cuando publicó su alerta, no había observado explotación. Esa observación corresponde a su momento y a sus propios datos; no invalida los intentos registrados por proveedores con otra telemetría.
- Sophos corrigió una evaluación previa: su telemetría mostraba escaneos y unos pocos intentos fallidos, pero no pruebas de una intrusión exitosa en sus entornos a la fecha de esa actualización.
7
En conjunto, los reportes justifican tratar PHP2Shell como una prioridad: el impacto potencial es grave y se observaron intentos. No permiten afirmar que todos hayan tenido éxito ni establecer una cifra definitiva de sistemas comprometidos.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: las fallas críticas de PHP y las versiones que debes actualizar"?
PHP2Shell agrupa dos vulnerabilidades críticas de PHP, ambas con una puntuación CVSS v4.0 de 9,2 y riesgo de ejecución remota de código sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell agrupa dos vulnerabilidades críticas de PHP, ambas con una puntuación CVSS v4.0 de 9,2 y riesgo de ejecución remota de código sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; las actualizaciones se publicaron el 21 de octubre de 2026, antes de la fecha prevista.
¿Qué debo hacer a continuación en la práctica?
Se registraron intentos de explotación, pero los datos disponibles no demuestran que todos tuvieran éxito ni permiten calcular cuántos sistemas fueron comprometidos.
Fuentes
csa.gov.sgCritical Vulnerabilities in PHP (PHP2Shell)
blog.checkpoint.comPHP2Shell: Critical PHP Vulnerabilities - Check Point Blog
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
indianexpress.comGovernment websites, BBC, Wikimedia services go offline: What is PHP2Shell, why is it dangerous?