Conserva pruebas antes de cambiar
Anota descubrimiento, dominio, instancia, runtime, síntomas y último estado fiable. Exporta registros originales con zona horaria, auditoría cloud e instantáneas autorizadas disponibles. Restringe copias y registra hashes. No envíes cookies, tokens ni datos de clientes a escáneres públicos. No borres logs ni archivos sospechosos antes de conservarlos.
Contén la posible intrusión
Ante abuso activo, restringe acceso o retira instancias del balanceador preservando pruebas necesarias. Involucra al proveedor o equipo de respuesta. Inventaría todos los PHP, corrige ambos CVE, sustituye workers y revisa sistemas vecinos. WAF y medidas temporales no eliminan accesos existentes, credenciales robadas ni persistencia. No retrases la contención.
Restaura desde un estado fiable
Tras intrusión confirmada, reconstruye desde imágenes fiables y datos verificados, no solo borres la webshell. Elimina cuentas y persistencia, cambia secretos afectados desde un equipo limpio e invalida sesiones tras contener. Verifica runtime Web, réplicas y funciones. Vigila conexiones y autenticación; documenta alcance y obligaciones de aviso con el equipo.
Fuentes primarias y lecturas adicionales
PHP security teamLeer el original ↗CVE-2026-109618Leer el original ↗CVE-2026-109619Leer el original ↗Investigación y guías prácticas
Herramientas PHP2Shell
Comprueba sitios públicos, revisa configuraciones y registros locales o encuentra herramientas abiertas. Cada resultado indica sus pruebas y límites.
01PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
02¿Intento o intrusión exitosa?
Multipart extraño o una alerta WAF puede indicar un intento. OOM, SIGSEGV/SIGABRT y picos HTTP 500 también tienen causas normales. Procesos hijos PHP, conexiones, archivos o cuentas inesperados requieren investigación urgente. Una filtración de memoria puede no dejar webshell ni archivos; un análisis limpio no la descarta.
03Conserva pruebas antes de cambiar
Anota descubrimiento, dominio, instancia, runtime, síntomas y último estado fiable. Exporta registros originales con zona horaria, auditoría cloud e instantáneas autorizadas disponibles. Restringe copias y registra hashes. No envíes cookies, tokens ni datos de clientes a escáneres públicos. No borres logs ni archivos sospechosos antes de conservarlos.
04Lee Wiz y Calif con precisión
La investigación explica errores que sobreviven a una petición. CVE-2026-109618 demuestra RCE mod_php; la susceptibilidad FPM es por análisis de código, sin exploit FPM completo para ese CVE. CVE-2026-109619 confirma aparte una ruta FPM de upload-progress dependiente de la aplicación. Consulta cada GHSA para distinguir pruebas por SAPI.
05Cloudflare: también importa la respuesta
Cloudflare describe detección de transacción completa, combinando petición y respuesta del origen y bloqueando respuestas sospechosas antes de filtrar datos. Es útil sin shell. El despliegue histórico no garantiza tu cobertura: confirma reglas, ruta, exclusiones y eventos. Origen directo y hosts sin proxy siguen necesitando parche.