¿Qué es PHP2Shell?
PHP2Shell agrupa CVE-2026-109618 y CVE-2026-109619, dos clases de fallos de memoria del propio PHP, ambas CVSS v4.0 9,2. Se demostraron ejecución de código sin autenticación y filtración de memoria. PHP publicó las correcciones el 21 de octubre de 2026. No es un fallo exclusivo de un CMS.
¿Qué instalaciones revisar?
PHP recomienda actualizar toda instalación Web: FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel y aplicaciones propias heredan el riesgo. Incluya paneles, dispositivos, pruebas y contenedores. Actualizar la aplicación no sustituye el intérprete.
¿FPM queda exento?
No. FPM termina el proceso hijo cuando falla el inicio de la petición, bloqueando algunas secuencias iniciales. No elimina las rutas de aplicación o entre peticiones. La demostración mod_php no implica idéntica explotación en todas partes, pero FPM tampoco sustituye el parche.
PHP 8.1 y anteriores
No hay lanzamientos habituales de PHP. Se publicaron excepcionalmente backports mínimos de fuentes para 7.4, 8.0 y 8.1; compilación y validación son responsabilidad del operador. Un proveedor OS o LTS puede mantener paquetes. La investigación se remonta a 5.4 con condiciones distintas. Migre y verifique el parche provisional.
PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
Herramientas PHP2Shell →Evidencias por entorno PHP
| Entorno | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE demostrada | RCE demostrada |
| PHP-FPM | Riesgo dependiente de la aplicación; no se ha demostrado un exploit FPM completo para esta CVE | RCE demostrada con una ruta de aplicación adecuada |
Actualice también php-cgi, FrankenPHP y LiteSpeed. PHP recomienda actualizar todas las instalaciones Web. La tabla distingue rutas demostradas de exposición general.