Lee Wiz y Calif con precisión
La investigación explica errores que sobreviven a una petición. CVE-2026-109618 demuestra RCE mod_php; la susceptibilidad FPM es por análisis de código, sin exploit FPM completo para ese CVE. CVE-2026-109619 confirma aparte una ruta FPM de upload-progress dependiente de la aplicación. Consulta cada GHSA para distinguir pruebas por SAPI.
Wiz ResearchLeer el original ↗CalifLeer el original ↗Convierte la actualización en una lista
Primeros parches: 8.2.35, 8.3.36, 8.4.27, 8.5.12. 7.4, 8.0 y 8.1 tienen backports fuente mínimos excepcionales, no versiones normales soportadas. Verifica AMBOS CVE y revisión del proveedor. Reconstruye imágenes, sustituye todas las réplicas y reinicia procesos persistentes. Solo CLI o reiniciar la misma imagen no basta.
| Rama PHP | Versiones originales inferiores a | Primera versión corregida | Fin del soporte de seguridad |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dic 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dic 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dic 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dic 2026 |
No hay una publicación habitual de PHP para estas ramas. Existen parches mínimos de código fuente para 7.4, 8.0 y 8.1; verifique el soporte del proveedor por separado. Leer guía ↗
Foundation y OpenAI: de coordinación a pruebas
PHP Foundation describe mantenimiento y recursos; Patch the Planet explica validación y divulgación coordinada. No demuestra que tu proveedor haya parcheado. Registra responsable, inventario, revisión, reinicios y comprobación posterior. Si difieren las descripciones de FPM o ramas antiguas, prevalecen GHSA PHP y avisos del proveedor.
PHP FoundationLeer el original ↗OpenAI - Patch the PlanetLeer el original ↗php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -vFuentes primarias y lecturas adicionales
PHP security teamLeer el original ↗CVE-2026-109618Leer el original ↗CVE-2026-109619Leer el original ↗Investigación y guías prácticas
Herramientas PHP2Shell
Comprueba sitios públicos, revisa configuraciones y registros locales o encuentra herramientas abiertas. Cada resultado indica sus pruebas y límites.
01PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
02¿Intento o intrusión exitosa?
Multipart extraño o una alerta WAF puede indicar un intento. OOM, SIGSEGV/SIGABRT y picos HTTP 500 también tienen causas normales. Procesos hijos PHP, conexiones, archivos o cuentas inesperados requieren investigación urgente. Una filtración de memoria puede no dejar webshell ni archivos; un análisis limpio no la descarta.
03Conserva pruebas antes de cambiar
Anota descubrimiento, dominio, instancia, runtime, síntomas y último estado fiable. Exporta registros originales con zona horaria, auditoría cloud e instantáneas autorizadas disponibles. Restringe copias y registra hashes. No envíes cookies, tokens ni datos de clientes a escáneres públicos. No borres logs ni archivos sospechosos antes de conservarlos.
04Lee Wiz y Calif con precisión
La investigación explica errores que sobreviven a una petición. CVE-2026-109618 demuestra RCE mod_php; la susceptibilidad FPM es por análisis de código, sin exploit FPM completo para ese CVE. CVE-2026-109619 confirma aparte una ruta FPM de upload-progress dependiente de la aplicación. Consulta cada GHSA para distinguir pruebas por SAPI.
05Cloudflare: también importa la respuesta
Cloudflare describe detección de transacción completa, combinando petición y respuesta del origen y bloqueando respuestas sospechosas antes de filtrar datos. Es útil sin shell. El despliegue histórico no garantiza tu cobertura: confirma reglas, ruta, exclusiones y eventos. Origen directo y hosts sin proxy siguen necesitando parche.