RespuestasPublicado24 fuentes
PHP2Shell: fallos críticos en PHP y cómo responder
PHP2Shell agrupa dos fallos que podrían permitir la ejecución remota de código sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell agrupa dos fallos que podrían permitir la ejecución remota de código sin autenticación.
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las organizaciones deben localizar sus instalaciones de PHP y aplicar los parches del proveedor.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell es el nombre que reciben dos vulnerabilidades críticas en el procesamiento de solicitudes de PHP: CVE-2026-109618 y CVE-2026-109619. En determinadas condiciones, un atacante sin autenticación podría ejecutar código en un servidor afectado. PHP publicó parches de emergencia el 21 de octubre de 2026, después de que los detalles se hicieran públicos antes de la fecha prevista. Los intentos de ataque reportados no demuestran, por sí solos, que se hayan producido intrusiones exitosas. 4
6
15
Qué hacen las vulnerabilidades PHP2Shell
Los fallos afectan al propio PHP, no a una aplicación web en particular. Los avisos de seguridad indican que el problema alcanza a PHP 5.4 y versiones posteriores, y que solicitudes especialmente manipuladas podrían activar las vulnerabilidades en sistemas que procesan tráfico web. 8
14
Las causas técnicas son distintas: CVE-2026-109618 se relaciona con corrupción de memoria por falta de memoria disponible; CVE-2026-109619, con un estado global obsoleto. Ambas recibieron una puntuación de 9,2 en CVSS 4.0 y fueron clasificadas como críticas. 4
15
PHP se usa ampliamente, pero las fuentes disponibles no permiten establecer un porcentaje fiable de todos los sitios web que estarían afectados. Las estimaciones pueden partir de denominadores distintos, así que una cifra general no debe interpretarse como un recuento de sitios vulnerables. Para cada administrador, la cuestión práctica es si tiene alguna instalación de PHP que atienda solicitudes web y aún no esté corregida. 3
14
Divulgación, investigación con IA y parches
Las vulnerabilidades se hicieron públicas el 20 de octubre, un día antes de que PHP publicara los parches de emergencia y antes de la divulgación prevista originalmente para el 22 de octubre. 6
7
16
Cloudflare mencionó a Calif, Wiz, OpenAI y Quarkslab en su relato de la divulgación. La cobertura de esos días describió una investigación de Calif asistida por IA e informó que Wiz descubrió y comunicó los fallos de manera independiente. Las fuentes disponibles no precisan cuál fue la contribución técnica de cada participante. 14
20
Las versiones corregidas publicadas el 21 de octubre son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. 15
16 Los administradores deberían identificar qué versiones de PHP están en producción y actualizar a la versión corregida correspondiente o aplicar una corrección retroportada por el proveedor, siempre que esté verificada. Algunos proveedores incorporan una solución de seguridad sin cambiar la versión base que muestra el sistema; si el número parece antiguo, conviene consultar su aviso de seguridad.
1
Qué se sabía sobre los intentos de explotación
El 21 de octubre, informes de seguridad describieron intentos de ataque contra las vulnerabilidades. Cloudflare dijo haber observado tráfico malicioso, y SecurityWeek informó de que varias empresas de ciberseguridad habían detectado intentos antes de que se publicaran los parches de PHP. 14
15
Los datos disponibles no ofrecían una conclusión definitiva sobre si hubo explotación exitosa. Un resumen posterior de la cobertura del 21 de octubre señaló que, en ese momento, CISA y el Centro Canadiense para la Ciberseguridad no habían observado ni identificado explotación, mientras que empresas de seguridad sí reportaban intentos. No son afirmaciones incompatibles: una solicitud de ataque no prueba que se haya vulnerado un sistema, y que una agencia no haya observado actividad tampoco demuestra que no hubiera ocurrido ninguna intrusión. 25
Parches, inventario y defensas temporales
La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó priorizar los parches de los proveedores y hacer un inventario de los servicios de hardware y software que dependan de versiones vulnerables de PHP. 17 También se informó que CISA instaba a aplicar los parches de inmediato.
20 Si no es posible corregir pronto un servicio afectado, algunos informes describieron la recomendación de desconectarlo temporalmente en vez de dejarlo expuesto.
7
21
Cloudflare indicó que sus clientes de WAF —tanto del plan gratuito como de los planes de pago— tenían protección predeterminada contra PHP2Shell desde las 03:02 UTC del 21 de octubre. 14 Ese filtro puede sumar una capa de defensa, pero no reemplaza la actualización de PHP: una regla de protección no demuestra que el servidor subyacente esté corregido.
14
17
El incidente también motivó revisiones más allá de los entornos habituales de PHP. Help Net Security informó que Palo Alto Networks dijo que todas las versiones de PAN-OS y Panorama estaban afectadas y que, al publicarse el informe, aún no había correcciones disponibles. 33 La exposición y las mitigaciones dependen de cada producto. Las organizaciones que utilizan equipos o plataformas gestionadas deberían seguir el aviso del proveedor correspondiente, en lugar de asumir que una actualización de PHP soluciona esos productos.
En resumen
PHP2Shell requiere atención urgente: hay que localizar los servicios que ejecutan PHP, instalar la versión corregida o una solución retroportada confirmada y recurrir al aislamiento o al filtrado solo como medidas provisionales. Los informes del 21 de octubre justifican la preocupación por los intentos de ataque, pero no permiten presentar cada intento como una brecha confirmada. 1
15
17
25
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: fallos críticos en PHP y cómo responder"?
PHP2Shell agrupa dos fallos que podrían permitir la ejecución remota de código sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell agrupa dos fallos que podrían permitir la ejecución remota de código sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las organizaciones deben localizar sus instalaciones de PHP y aplicar los parches del proveedor.
Fuentes
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...