RespuestasPublicado20 fuentes
PHP2Shell: parches urgentes para dos fallos críticos de PHP
Los fallos CVE 2026 109618 y CVE 2026 109619 tienen una puntuación CVSS de 9,2 y podrían permitir la ejecución remota de código sin autenticación. PHP publicó las versiones corregidas el 21 de octubre de 2026: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- Los fallos CVE 2026 109618 y CVE 2026 109619 tienen una puntuación CVSS de 9,2 y podrían permitir la ejecución remota de código sin autenticación.
- PHP publicó las versiones corregidas el 21 de octubre de 2026: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Amazon detectó un intento de explotación en su honeypot MadPot el 17 de octubre; los intentos registrados no demuestran por sí solos que se hayan comprometido servidores en producción.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 severity ratings and potential fo. Article summary: PHP2Shell comprises two critical PHP memory-corruption vulnerabilities, CVE-2026-109618 and CVE-2026-109619, each rated 9.2 and capable of unauthenticated remote code execution; fixed releases were issued on October 21, . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell es el nombre con el que se conocen dos vulnerabilidades críticas de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación CVSS de 9,2 y pueden permitir que un atacante ejecute código en un servidor web PHP sin necesidad de autenticarse. PHP publicó las versiones corregidas el 21 de octubre de 2026, después de que se informara de un intento de explotación registrado cuatro días antes. 4
5
Qué hacen las vulnerabilidades
Los dos fallos están relacionados con la gestión de memoria durante el procesamiento de solicitudes. PHP describe CVE-2026-109618 como un problema de corrupción de memoria al limpiar una solicitud tras quedarse sin memoria. En CVE-2026-109619, un proceso puede reutilizar estado obsoleto de una solicitud anterior atendida por el mismo trabajador. Ambos fallos pueden desembocar en ejecución remota de código. 4
10
El riesgo afecta a instalaciones de PHP que atienden solicitudes web, incluidas las que usan PHP-FPM o Apache con mod_php, entre otras configuraciones. 4
5 El equipo de seguridad de PHP considera que el riesgo es mayor en mod_php.
7
Versiones corregidas
PHP publicó estas versiones con los parches el 21 de octubre de 2026: 4
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los administradores deben actualizar a la versión corregida correspondiente a cada rama de PHP que utilicen. Como el problema afecta a instalaciones que procesan tráfico web, conviene revisar todos los despliegues que atienden solicitudes, no solo el framework o el gestor de contenidos de cada aplicación. 4
5
Según varios informes, una divulgación prematura adelantó los parches, previstos inicialmente para el 22 de octubre. La información disponible no permite determinar con precisión qué datos se filtraron, quién los divulgó ni cómo circularon. 3
20
Qué se sabe de los intentos de explotación
Amazon Threat Intelligence informó de un intento de explotación contra su honeypot MadPot fechado el 17 de octubre, cuatro días antes del anuncio público y de la publicación de los parches. Amazon señaló que el intento procedía de una dirección IP asociada a una red comercial de anonimización, pero que no estaba claro cómo el actor obtuvo información anticipada sobre las vulnerabilidades.
Cloudflare informó de que, tras la divulgación, los intentos de explotación llegaron a millones. Esa cifra cuenta actividad detectada, no sitios web cuya vulneración se haya confirmado. 18
19 Del mismo modo, un intento registrado en un honeypot indica que se probó el ataque, pero no demuestra que se comprometiera un servidor en producción. La información disponible no establece cuántos sistemas de producción, si alguno, fueron vulnerados.
46
Qué deberían hacer los administradores
- Instalar la versión corregida de cada rama afectada que esté en uso.
4
- Revisar la actividad desde el 17 de octubre. La detección temprana de Amazon hace que limitar la revisión al día en que se publicaron los parches pueda dejar fuera actividad relevante.
46
- Distinguir entre intentos y compromisos confirmados. Un aumento de intentos puede indicar que se está sondeando una vulnerabilidad, pero no demuestra que se haya ejecutado código en un servidor concreto.
18
La respuesta más clara es actualizar las instalaciones afectadas de PHP e investigar la actividad desde el 17 de octubre. El elevado número de intentos subraya la urgencia, pero no significa que todos los servidores atacados hayan sido comprometidos.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: parches urgentes para dos fallos críticos de PHP"?
Los fallos CVE 2026 109618 y CVE 2026 109619 tienen una puntuación CVSS de 9,2 y podrían permitir la ejecución remota de código sin autenticación.
¿Cuáles son los puntos clave a validar primero?
Los fallos CVE 2026 109618 y CVE 2026 109619 tienen una puntuación CVSS de 9,2 y podrían permitir la ejecución remota de código sin autenticación. PHP publicó las versiones corregidas el 21 de octubre de 2026: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
¿Qué debo hacer a continuación en la práctica?
Amazon detectó un intento de explotación en su honeypot MadPot el 17 de octubre; los intentos registrados no demuestran por sí solos que se hayan comprometido servidores en producción.
Fuentes
censys.comOct 21 Advisory: php2shell - PHP Unauthenticated Remote Code ...
csa.gov.sgCritical Vulnerabilities in PHP (PHP2Shell)