¿Qué es PHP2Shell?
PHP2Shell agrupa CVE-2026-109618 y CVE-2026-109619, dos clases de fallos de memoria del propio PHP, ambas CVSS v4.0 9,2. Se demostraron ejecución de código sin autenticación y filtración de memoria. PHP publicó las correcciones el 21 de octubre de 2026. No es un fallo exclusivo de un CMS.
¿Qué instalaciones revisar?
PHP recomienda actualizar toda instalación Web: FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel y aplicaciones propias heredan el riesgo. Incluya paneles, dispositivos, pruebas y contenedores. Actualizar la aplicación no sustituye el intérprete.
¿FPM queda exento?
No. FPM termina el proceso hijo cuando falla el inicio de la petición, bloqueando algunas secuencias iniciales. No elimina las rutas de aplicación o entre peticiones. La demostración mod_php no implica idéntica explotación en todas partes, pero FPM tampoco sustituye el parche.
Parches de distribución
Ubuntu, Debian y Linux empresarial pueden conservar el número original con una revisión corregida. El banner 8.3.6 no demuestra vulnerabilidad ni reparación. Verifique sistema, repositorio, arquitectura y revisión para AMBAS CVE. Este sitio no inventa umbrales de paquetes.
PHP 8.1 y anteriores
No hay lanzamientos habituales de PHP. Se publicaron excepcionalmente backports mínimos de fuentes para 7.4, 8.0 y 8.1; compilación y validación son responsabilidad del operador. Un proveedor OS o LTS puede mantener paquetes. La investigación se remonta a 5.4 con condiciones distintas. Migre y verifique el parche provisional.
Las medidas temporales son incompletas
Solo el parche completo aborda todas las variantes. Los ajustes pueden afectar cargas, rendimiento o disponibilidad. Aplíquelos administrativamente antes del análisis y reinicie todos los procesos. Lea ambos avisos. Un CDN o WAF no demuestra que PHP esté corregido.
Un parche no descarta una intrusión
Comparar versiones no detecta explotación previa. Preserve registros e imágenes, investigue caídas, archivos, procesos y conexiones salientes. La ausencia de errores no prueba seguridad. Si sospecha compromiso, aísle y rote secretos expuestos desde un entorno confiable tras contener el incidente.
Método de evaluación
La comparación manual usa versiones estables completas de cuatro ramas publicadas. Los paquetes de proveedor requieren pruebas para ambos CVE; lo desconocido sigue desconocido. La comprobación pública recoge versiones anunciadas e indicios, nunca prueba de explotación. Cabeceras ocultas, un CDN o una réplica actualizada no demuestran seguridad en todos los entornos. Las fechas indican revisiones editoriales.
¿Un escáner gratis demuestra un hackeo?
No de forma concluyente. Cabeceras y patrones aportan pistas sin ver runtime completo, historial ausente ni filtraciones de memoria. Inventaría, conserva y correlaciona. Ante cuentas, procesos o filtraciones inexplicados, aísla y contacta al proveedor o equipo de respuesta.
¿Intento o intrusión exitosa? →