PHP2Shell: cómo corregir CVE-2026-109618 y CVE-2026-109619

PHP2Shell en resumen

Lo que hay que recordar

• CVE-2026-109618 — corrupción de memoria al superar memory_limit: los datos de la solicitud, inicializados solo en parte, se tratan después como válidos durante la limpieza.
• CVE-2026-109619 — estado global obsoleto: un estado propio de una solicitud sobrevive a la liberación de su memoria y puede ser leído por la siguiente solicitud en el mismo proceso.
• Puntuación: 9.2 sobre 10 en CVSS 4.0 para cada una, sin autenticación ni interacción del usuario.
• Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El proyecto ya no publica versiones para 8.1 ni para las ramas anteriores.
• Explotación: watchTowr informa de intentos de explotación en sus trampas de red desde el 21 de octubre de 2026.
• Alcance: los investigadores estiman que las ramas afectadas se remontan hasta PHP 5.4, aunque no se ha probado cada versión de forma individual.

Por qué estos dos fallos son tan peligrosos

Qué versión instalar según su rama

Desplace la tabla

Comprobar si sus servidores están expuestos

Inventariar las versiones de PHP servidas

1. 01

   Listar las versiones instaladas

   En Debian o Ubuntu:

   dpkg-query -W -f='${db:Status-Abbrev} ${Package} ${Version}\n' 'php*' | awk '$1=="ii"' | grep -E 'php[0-9.]+-(fpm|cli|common)|libapache2-mod-php'

   En RHEL, AlmaLinux o Rocky Linux:

   rpm -qa 'php*' 'ea-php*' 'alt-php*' | sort

2. 02

   Localizar los procesos PHP en ejecución

   systemctl list-units --type=service --state=running | grep -E 'php|apache2|httpd|lsws'

   Cada servicio phpX.Y-fpm activo es una versión que hay que comprobar y corregir.

3. 03

   Leer la versión que sirve un sitio

   Coloque un archivo temporal en la raíz del sitio, consúltelo y después elimínelo de inmediato:

   echo '<?php echo PHP_VERSION, " ", PHP_SAPI;' > /var/www/monsite/v-check.php
   curl -s https://monsite.example/v-check.php
   rm /var/www/monsite/v-check.php

   Un resultado 8.3.36 fpm-fcgi indica una versión corregida servida por PHP-FPM.

4. 04

   Revisar los contenedores Docker

   docker ps --format '{{.Names}}' | while read c; do echo "$c: $(docker exec "$c" php -r 'echo PHP_VERSION;' 2>/dev/null)"; done

   Un contenedor sin PHP no muestra nada después de su nombre.

Aplicar el parche

Actualizar PHP según su entorno

1. 05

   Debian y Ubuntu

   sudo apt update
   sudo apt install --only-upgrade $(dpkg-query -W -f='${db:Status-Abbrev} ${Package}\n' 'php*' | awk '$1=="ii"{print $2}')
   sudo systemctl restart 'php*-fpm'
   sudo systemctl restart apache2   # si usa mod_php

   Si sus versiones proceden de un repositorio de terceros (por ejemplo, el PPA ondrej/php), compruebe que la versión instalada tras la actualización sea realmente una versión corregida.

2. 06

   RHEL, AlmaLinux, Rocky Linux

   sudo dnf upgrade 'php*'
   sudo systemctl restart php-fpm
   sudo systemctl restart httpd

   AlmaLinux publicó sus paquetes corregidos el 21 de octubre de 2026. El repositorio comunitario Remi, en cambio, no tenía ninguna actualización disponible en el momento del anuncio: si depende de él, compruebe después la versión instalada.

3. 07

   Servidor cPanel (EasyApache 4 o CloudLinux)

   sudo dnf upgrade 'ea-php*' 'alt-php*'
   /scripts/restartsrv_apache_php_fpm
   /scripts/restartsrv_httpd

   En un servidor más antiguo, sustituya dnf por yum. Después, revise cada versión en WHM › MultiPHP Manager: una cuenta que siga configurada en una rama sin parche (7.x, 8.0, 8.1) debe pasarse a una versión mantenida.

4. 08

   Contenedores Docker

   docker compose pull
   docker compose up -d --force-recreate
   docker compose exec app php -r 'echo PHP_VERSION;'

   Si su Dockerfile parte de una imagen php:8.3-fpm, reconstruya la imagen con docker compose build --pull: sin --pull, Docker reutiliza la antigua imagen base almacenada en caché.

5. 09

   Comprobar el resultado

   Vuelva a ejecutar la comprobación del paso anterior en cada sitio. El parche solo está aplicado si la versión servida por la web está corregida, no únicamente la versión instalada en el disco.

Si no puede actualizar de inmediato

; en el pool FPM, por ejemplo /etc/php/8.3/fpm/pool.d/www.conf
php_admin_flag[session.upload_progress.enabled] = off
; solo PHP 8.5:
php_admin_flag[fatal_error_backtraces] = off

Buscar rastros de explotación

Controles que realizar después del parche

1. 10

   Buscar los procesos PHP-FPM terminados

   sudo grep -E 'exited on signal (11|6)' /var/log/php*-fpm.log | tail -20

   Una serie de procesos terminados por la señal 11 (SIGSEGV) desde el 21 de octubre es una señal de alerta.

2. 11

   Buscar los desbordamientos de memoria

   sudo grep -rh 'Allowed memory size' /var/log/php* /var/log/nginx /var/log/apache2 2>/dev/null | tail -20

3. 12

   Localizar los archivos PHP creados recientemente

   sudo find /var/www /home -name '*.php' -newermt '2026-10-20' -not -path '*/vendor/*' -not -path '*/cache/*' -ls

   Un archivo desconocido con un nombre genérico, en una carpeta de subidas o en /tmp, debe examinarse antes de eliminarlo.

4. 13

   En caso de duda, tratar el servidor como comprometido

   Aísle la máquina, conserve una copia de los registros y, a continuación, renueve las contraseñas de la base de datos, las claves de API y los secretos presentes en los archivos .env: una fuga de memoria puede haberlos expuesto sin dejar ningún otro rastro.

En un alojamiento compartido

La documentación oficial