PHP2Shell: una falla crítica en el propio PHP (CVE-2026-109618, CVE-2026-109619)
El 21 de octubre el proyecto PHP publicó una actualización fuera de calendario: dos errores en el propio intérprete pueden, en ciertas configuraciones, permitir que un atacante ejecute código en el servidor sin iniciar sesión. Tiene una calificación de 9.2 sobre 10 y ya existen exploits públicos.
Revisado en Shield: sí
Quién está afectado
Cualquier sitio con PHP anterior a 8.2.35, 8.3.36, 8.4.27 o 8.5.12: WordPress, Joomla, Drupal, Laravel y código a medida por igual. Las ramas 8.1 y anteriores no reciben corrección oficial. WordPress no necesita actualizarse, la corrección está en PHP. El riesgo es mayor en Apache con mod_php y menor en PHP-FPM.
Cómo comprobar
La versión de PHP aparece en el panel de tu hosting o con php -v. Desde fuera solo se ve si el propio sitio la expone en los encabezados X-Powered-By o Server.
Cómo corregirlo
Actualiza PHP a la versión corregida de tu rama y reinicia PHP-FPM o Apache. Si no puedes hacerlo de inmediato, desactiva session.upload_progress.enabled: cierra una vía de ataque, no todas.
Qué comprueba Shield gratis
Si la versión de PHP es visible en los encabezados y es anterior a la corregida, Shield reporta un hallazgo crítico con enlaces a los CVE. Si la versión está oculta (lo cual es una buena práctica), no se puede comprobar desde fuera: Shield te indicará que la consultes con tu proveedor de hosting.
Conviene saber
Amazon y watchTowr reportan intentos de explotación antes de que el parche fuera público. Actualizamos nuestros propios servidores el 22 de octubre.
