Cloudflare: también importa la respuesta
Cloudflare describe detección de transacción completa, combinando petición y respuesta del origen y bloqueando respuestas sospechosas antes de filtrar datos. Es útil sin shell. El despliegue histórico no garantiza tu cobertura: confirma reglas, ruta, exclusiones y eventos. Origen directo y hosts sin proxy siguen necesitando parche.
CloudflareLeer el original ↗Akamai, Imperva y Unit 42
Akamai cita Adaptive Security Engine 3000991 v1; Unit 42, Threat ID 543004 e inventario; Imperva, protección por capas. Son capacidades de productos, no reglas WAF universales. Confirma avisos actuales, política activa y ruta real. Bloquear una petición no demuestra que fallaran intentos anteriores.
AkamaiLeer el original ↗ImpervaLeer el original ↗Palo Alto Networks Unit 42Leer el original ↗Corelight y Cisco Talos
Corelight publica reglas Zeek/Suricata. Potentially_Affected_PHP_Version es inventario, distinto de correlaciones de petición/sesión. Zeek necesita visibilidad HTTP; algunos umbrales siguen provisionales. Comprueba avisos actuales. Talos cita Snort 67359, 67360 y 67375. Sin alertas o con cabeceras ocultas no se demuestra seguridad.
CorelightLeer el original ↗Cisco TalosLeer el original ↗Qué aporta la evidencia del endpoint
CrowdStrike describe protección ante actividad posterior a la explotación. Relaciona procesos hijos PHP, shells, conexiones y persistencia con la cronología Web. Refuerzan la investigación; no ver una shell no descarta filtración de memoria. Vincula afirmaciones al producto y fecha; combina red y host.
CrowdStrikeLeer el original ↗Fuentes primarias y lecturas adicionales
PHP security teamLeer el original ↗CVE-2026-109618Leer el original ↗CVE-2026-109619Leer el original ↗Investigación y guías prácticas
Herramientas PHP2Shell
Comprueba sitios públicos, revisa configuraciones y registros locales o encuentra herramientas abiertas. Cada resultado indica sus pruebas y límites.
01PHP2Shell en lenguaje sencillo
PHP es el motor de WordPress, Laravel y los plugins. Actualizar un plugin no actualiza PHP. Dos fallos de memoria pueden convertir la limpieza anómala de una petición en filtración o ejecución de código. El control público solo aporta indicios; el proveedor debe confirmar el runtime Web y su parche.
02¿Intento o intrusión exitosa?
Multipart extraño o una alerta WAF puede indicar un intento. OOM, SIGSEGV/SIGABRT y picos HTTP 500 también tienen causas normales. Procesos hijos PHP, conexiones, archivos o cuentas inesperados requieren investigación urgente. Una filtración de memoria puede no dejar webshell ni archivos; un análisis limpio no la descarta.
03Conserva pruebas antes de cambiar
Anota descubrimiento, dominio, instancia, runtime, síntomas y último estado fiable. Exporta registros originales con zona horaria, auditoría cloud e instantáneas autorizadas disponibles. Restringe copias y registra hashes. No envíes cookies, tokens ni datos de clientes a escáneres públicos. No borres logs ni archivos sospechosos antes de conservarlos.
04Lee Wiz y Calif con precisión
La investigación explica errores que sobreviven a una petición. CVE-2026-109618 demuestra RCE mod_php; la susceptibilidad FPM es por análisis de código, sin exploit FPM completo para ese CVE. CVE-2026-109619 confirma aparte una ruta FPM de upload-progress dependiente de la aplicación. Consulta cada GHSA para distinguir pruebas por SAPI.
05Cloudflare: también importa la respuesta
Cloudflare describe detección de transacción completa, combinando petición y respuesta del origen y bloqueando respuestas sospechosas antes de filtrar datos. Es útil sin shell. El despliegue histórico no garantiza tu cobertura: confirma reglas, ruta, exclusiones y eventos. Origen directo y hosts sin proxy siguen necesitando parche.