PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
Encuentra el PHP de tu sitio
WordPress: Herramientas > Salud del sitio > Información > Servidor. En el panel elige el dominio y su controlador PHP, no el valor predeterminado. Con SSH compara php -v con FPM/Apache o el contenedor que sirve ese dominio. Sitios, tareas CLI y réplicas pueden diferir. No publiques phpinfo.
Comprobar mi versión →Pide pruebas al proveedor
Confirmen los parches de CVE-2026-109618 Y CVE-2026-109619 en el runtime Web de mi dominio. Faciliten revisión completa, aviso o changelog y confirmación de sustitución o reinicio de todos los workers FPM/Apache, réplicas y procesos persistentes. ¿Pueden revisar los registros de acceso, PHP y procesos conservados?Fuentes primarias y lecturas adicionales
PHP security teamLeer el original ↗CVE-2026-109618Leer el original ↗CVE-2026-109619Leer el original ↗php2shell.ukLeer el original ↗Investigación y guías prácticas
Herramientas PHP2Shell
Comprueba sitios públicos, revisa configuraciones y registros locales o encuentra herramientas abiertas. Cada resultado indica sus pruebas y límites.
01PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
02¿Intento o intrusión exitosa?
Multipart extraño o una alerta WAF puede indicar un intento. OOM, SIGSEGV/SIGABRT y picos HTTP 500 también tienen causas normales. Procesos hijos PHP, conexiones, archivos o cuentas inesperados requieren investigación urgente. Una filtración de memoria puede no dejar webshell ni archivos; un análisis limpio no la descarta.
03Conserva pruebas antes de cambiar
Anota descubrimiento, dominio, instancia, runtime, síntomas y último estado fiable. Exporta registros originales con zona horaria, auditoría cloud e instantáneas autorizadas disponibles. Restringe copias y registra hashes. No envíes cookies, tokens ni datos de clientes a escáneres públicos. No borres logs ni archivos sospechosos antes de conservarlos.
04Lee Wiz y Calif con precisión
La investigación explica errores que sobreviven a una petición. CVE-2026-109618 demuestra RCE mod_php; la susceptibilidad FPM es por análisis de código, sin exploit FPM completo para ese CVE. CVE-2026-109619 confirma aparte una ruta FPM de upload-progress dependiente de la aplicación. Consulta cada GHSA para distinguir pruebas por SAPI.
05Cloudflare: también importa la respuesta
Cloudflare describe detección de transacción completa, combinando petición y respuesta del origen y bloqueando respuestas sospechosas antes de filtrar datos. Es útil sin shell. El despliegue histórico no garantiza tu cobertura: confirma reglas, ruta, exclusiones y eventos. Origen directo y hosts sin proxy siguen necesitando parche.