[{"data":1,"prerenderedAt":291},["ShallowReactive",2],{"seo-verification":3,"blog-php2shell-cve-2026-109618-109619-actualizar-php-ma-es":6,"promo-bar-likely":290},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-php2shell-cve-2026-109618-109619-actualizar-php-ma-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":228,"ctaBody":229,"ctaButton":230,"ctaUrl":231,"relatedPosts":232},489,"php2shell-cve-2026-109618-109619-actualizar-php",{"fr":12,"en":13,"ar":14,"es":10},"php2shell-cve-2026-109618-109619-mettre-a-jour-php","php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","PHP2Shell: cómo corregir CVE-2026-109618 y CVE-2026-109619","PHP2Shell: dos fallos críticos de PHP explotables sin cuenta. Versiones corregidas, comandos de actualización por sistema y medidas temporales.",16,1,false,"2026-10-22T00:00:00+00:00","2026-11-08T01:13:15+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg","El 21 de octubre de 2026, el equipo de seguridad de PHP publicó de urgencia PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Estas versiones corrigen dos fallos apodados «PHP2Shell»: CVE-2026-109618 y CVE-2026-109619, con una puntuación de 9.2 sobre 10 en CVSS 4.0. Afectan al propio intérprete, no a una aplicación: basta una sola solicitud HTTP anónima, incluso antes de que se ejecute su código. Se observan intentos de explotación desde el mismo día de la publicación. Actualización del 27 de octubre: la CISA añadió los dos fallos a su catálogo de vulnerabilidades explotadas el 26 de octubre. A continuación se explica qué hacen estos dos fallos, cómo saber si sus servidores están expuestos y cómo corregirlos en Debian, Ubuntu, RHEL, cPanel y Docker.",[35,39,48,52,55,64,67,97,100,116,119,137,140,168,180,183,186,189,192,195,198,213,222,225],{"type":36,"title":37,"body":38},"h2","Actualización del 27 de octubre: la CISA incluye PHP2Shell entre los fallos explotados","El 26 de octubre de 2026, la CISA, la agencia estadounidense de ciberseguridad, añadió **los dos fallos** (CVE-2026-109618 y CVE-2026-109619) a su catálogo de vulnerabilidades explotadas conocidas, el KEV (Known Exploited Vulnerabilities). Una entrada solo figura ahí cuando se ha establecido una explotación real: hasta ahora, esa constatación se basaba en las trampas de red de watchTowr; ahora procede de una autoridad pública.\n\nLa CISA fijó el plazo en el 29 de octubre de 2026, tres días después de la inclusión. Esa fecha solo obliga a las agencias federales estadounidenses, pero da el orden de magnitud de la urgencia que un organismo público atribuye a estos fallos: unos días, no la próxima ventana de mantenimiento mensual.",{"type":40,"title":41,"items":42},"ul","Qué dice la entrada del catálogo KEV",[43,44,45,46,47],"**Fecha de inclusión**: 26 de octubre de 2026, tanto para CVE-2026-109618 («PHP Memory Corruption Vulnerability») como para CVE-2026-109619 («PHP Stale Internal Request-State Vulnerability»).","**Plazo**: 29 de octubre de 2026 para ambos.","**Acción exigida**: aplicar las mitigaciones del proveedor conforme a la directiva BOD 26-04 (Prioritizing Security Updates Based on Risk), o dejar de usar el producto si no hay ninguna mitigación disponible.","**Triaje forense**: la entrada remite a los «Forensics Triage Requirements» de la CISA. Parchear no basta: también hay que buscar una intrusión anterior al parche.","**Ransomware**: el uso en una campaña de ransomware figura como «desconocido» por ahora.",{"type":49,"title":50,"body":51},"tip","Qué cambia para usted","Nada en el procedimiento: las versiones corregidas y los comandos siguen siendo los de este artículo. Lo que cambia es la prioridad. Antes del 26 de octubre aún se podía elegir entre «ahora mismo» y «en la próxima ventana de mantenimiento»; ya no es defendible. Los servidores expuestos a internet van primero. Y la pregunta ya no es solo «¿estoy protegido?», sino «¿me afectó entre el 21 de octubre y el momento en que apliqué el parche?»: la lista de comprobación de más abajo se ha ampliado en ese sentido.",{"type":36,"title":53,"body":54},"PHP2Shell en resumen","PHP2Shell no es un fallo de WordPress, de Laravel ni de un plugin: lo que está en cuestión es el propio motor de PHP. Por lo tanto, toda aplicación PHP que responda a solicitudes web está afectada, sea cual sea su código. El aviso de seguridad menciona PHP-FPM, Apache con `mod_php`, `php-cgi`, FrankenPHP y LiteSpeed.\n\nAmbos fallos comparten el mismo mecanismo. Cuando PHP interrumpe bruscamente una solicitud (memoria agotada, error fatal), puede dejar tras de sí un estado interno a medio inicializar o ya liberado. Una solicitud posterior, atendida por el mismo proceso PHP, reutiliza entonces ese estado: eso es lo que abre la puerta a una ejecución remota de código.",{"type":40,"title":56,"items":57},"Lo que hay que recordar",[58,59,60,61,62,63],"**CVE-2026-109618** — corrupción de memoria al superar `memory_limit`: los datos de la solicitud, inicializados solo en parte, se tratan después como válidos durante la limpieza.","**CVE-2026-109619** — estado global obsoleto: un estado propio de una solicitud sobrevive a la liberación de su memoria y puede ser leído por la siguiente solicitud en el mismo proceso.","**Puntuación**: 9.2 sobre 10 en CVSS 4.0 para cada una, sin autenticación ni interacción del usuario.","**Versiones corregidas**: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El proyecto ya no publica versiones para 8.1 ni para las ramas anteriores.","**Explotación**: watchTowr informa de intentos de explotación en sus trampas de red desde el 21 de octubre de 2026.","**Alcance**: según la NVD, CVE-2026-109619 afecta a todas las versiones desde PHP 5.4.0, y CVE-2026-109618 a todas las versiones desde PHP 7.3.0.",{"type":36,"title":65,"body":66},"Por qué estos dos fallos son tan peligrosos","La mayoría de los fallos web exigen un formulario concreto, una cuenta o un plugin vulnerable. PHP2Shell no necesita nada de eso: el desencadenante más habitual es el procesamiento de un envío `multipart\u002Fform-data` con el seguimiento del progreso de sesiones (`session.upload_progress`), un mecanismo que PHP activa por defecto y que se ejecuta **antes** del primer byte de su aplicación. Un cortafuegos de aplicación ubicado en su código, un plugin de seguridad de WordPress o un middleware de Laravel llegan, por tanto, demasiado tarde.\n\nEl segundo factor es el propio modelo de ejecución. PHP-FPM y Apache reutilizan el mismo proceso para cientos de solicitudes sucesivas: eso es precisamente lo que permite que una solicitud maliciosa contamine la siguiente. Según Imperva, las técnicas publicadas van desde la caída de procesos hasta la lectura de archivos arbitrarios a través de la caché OPcache, pasando por la fuga de unos 67 KB de memoria del proceso en una cookie `PHPSESSID` sobredimensionada. Esa memoria puede contener contraseñas de bases de datos o claves de API.",{"type":68,"title":69,"headers":70,"rows":74},"comparison","Qué versión instalar según su rama",[71,72,73],"Rama de PHP","Versión corregida","Qué hacer",[75,79,82,85,89,93],[76,77,78],"8.5","8.5.12","Actualizar y luego reiniciar PHP",[80,81,78],"8.4","8.4.27",[83,84,78],"8.3","8.3.36",[86,87,88],"8.2","8.2.35","Actualizar y luego planificar la migración a 8.3 u 8.4",[90,91,92],"8.1, 8.0, 7.4","Ninguna versión oficial","Paquete corregido de su distribución, retroportación del código fuente o, si no, migración",[94,95,96],"7.3 y anteriores, 5.x","Ningún parche publicado","Migrar a una rama mantenida",{"type":36,"title":98,"body":99},"Comprobar si sus servidores están expuestos","Cuidado con una trampa clásica: la versión que muestra `php -v` en la línea de comandos no es necesariamente la que sirve sus sitios. Un servidor puede tener varias versiones de PHP-FPM instaladas en paralelo, y cada sitio puede apuntar a una versión distinta. Por lo tanto, hay que comprobar la versión que realmente sirve la web, sitio por sitio.",{"type":101,"title":102,"steps":103},"steps","Inventariar las versiones de PHP servidas",[104,107,110,113],{"title":105,"body":106},"Listar las versiones instaladas","En Debian o Ubuntu:\n\n```bash\ndpkg-query -W -f='${db:Status-Abbrev} ${Package} ${Version}\\n' 'php*' | awk '$1==\"ii\"' | grep -E 'php[0-9.]+-(fpm|cli|common)|libapache2-mod-php'\n```\n\nEn RHEL, AlmaLinux o Rocky Linux:\n\n```bash\nrpm -qa 'php*' 'ea-php*' 'alt-php*' | sort\n```",{"title":108,"body":109},"Localizar los procesos PHP en ejecución","```bash\nsystemctl list-units --type=service --state=running | grep -E 'php|apache2|httpd|lsws'\n```\n\nCada servicio `phpX.Y-fpm` activo es una versión que hay que comprobar y corregir.",{"title":111,"body":112},"Leer la versión que sirve un sitio","Coloque un archivo temporal en la raíz del sitio, consúltelo y después **elimínelo de inmediato**:\n\n```bash\necho '\u003C?php echo PHP_VERSION, \" \", PHP_SAPI;' > \u002Fvar\u002Fwww\u002Fmonsite\u002Fv-check.php\ncurl -s https:\u002F\u002Fmonsite.example\u002Fv-check.php\nrm \u002Fvar\u002Fwww\u002Fmonsite\u002Fv-check.php\n```\n\nUn resultado `8.3.36 fpm-fcgi` indica una versión corregida servida por PHP-FPM.",{"title":114,"body":115},"Revisar los contenedores Docker","```bash\ndocker ps --format '{{.Names}}' | while read c; do echo \"$c: $(docker exec \"$c\" php -r 'echo PHP_VERSION;' 2>\u002Fdev\u002Fnull)\"; done\n```\n\nUn contenedor sin PHP no muestra nada después de su nombre.",{"type":36,"title":117,"body":118},"Aplicar el parche","Las distribuciones Linux y los proveedores de soporte extendido recibieron los parches antes de la publicación. Por eso, el paquete corregido de su distribución no lleva necesariamente el número 8.3.36: Ubuntu 24.04, por ejemplo, corrige su versión 8.3.6 en el paquete `8.3.6-0ubuntu0.24.04.13`. Confíe en el aviso de seguridad de su distribución más que en el número de versión de PHP por sí solo. En cualquier caso, **el reinicio es imprescindible**: mientras los procesos antiguos sigan en ejecución, es el código antiguo el que responde.",{"type":101,"title":120,"steps":121},"Actualizar PHP según su entorno",[122,125,128,131,134],{"title":123,"body":124},"Debian y Ubuntu","```bash\nsudo apt update\nsudo apt install --only-upgrade $(dpkg-query -W -f='${db:Status-Abbrev} ${Package}\\n' 'php*' | awk '$1==\"ii\"{print $2}')\nsudo systemctl restart 'php*-fpm'\nsudo systemctl restart apache2   # si usa mod_php\n```\n\nSi sus versiones proceden de un repositorio de terceros (por ejemplo, el PPA `ondrej\u002Fphp`), compruebe que la versión instalada tras la actualización sea realmente una versión corregida.",{"title":126,"body":127},"RHEL, AlmaLinux, Rocky Linux","```bash\nsudo dnf upgrade 'php*'\nsudo systemctl restart php-fpm\nsudo systemctl restart httpd\n```\n\nAlmaLinux publicó sus paquetes corregidos el 21 de octubre de 2026. El repositorio comunitario Remi, por su parte, publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 22 de octubre de 2026: si depende de él, compruebe después la versión instalada.",{"title":129,"body":130},"Servidor cPanel (EasyApache 4 o CloudLinux)","```bash\nsudo dnf upgrade 'ea-php*' 'alt-php*'\n\u002Fscripts\u002Frestartsrv_apache_php_fpm\n\u002Fscripts\u002Frestartsrv_httpd\n```\n\nEn un servidor más antiguo, sustituya `dnf` por `yum`. Después, revise cada versión en **WHM › MultiPHP Manager**: una cuenta configurada en 7.3 o anterior, sin parche en cPanel, debe pasarse a una versión mantenida; 7.4, 8.0 y 8.1 están corregidas por retroporte, pero al final de su vida útil (véase más abajo).",{"title":132,"body":133},"Contenedores Docker","```bash\ndocker compose pull\ndocker compose up -d --force-recreate\ndocker compose exec app php -r 'echo PHP_VERSION;'\n```\n\nSi su `Dockerfile` parte de una imagen `php:8.3-fpm`, reconstruya la imagen con `docker compose build --pull`: sin `--pull`, Docker reutiliza la antigua imagen base almacenada en caché.",{"title":135,"body":136},"Comprobar el resultado","Vuelva a ejecutar la comprobación del paso anterior en cada sitio. El parche solo está aplicado si la versión **servida por la web** está corregida, no únicamente la versión instalada en el disco.",{"type":36,"title":138,"body":139},"cPanel y EasyApache 4: un número que no cambia no significa «sin corregir»","El registro de cambios de EasyApache 4 (EA4) del 21 de octubre de 2026, versión 25.91, abarca siete ramas de PHP. En las ramas mantenidas el número sube: `ea-php82` pasa de 8.2.34 a 8.2.35, `ea-php83` de 8.3.35 a 8.3.36, `ea-php84` de 8.4.26 a 8.4.27 y `ea-php85` de 8.5.11 a 8.5.12. En `ea-php74`, `ea-php80` y `ea-php81`, que cPanel había declarado al final de su vida útil, la corrección es **retroportada**: el número de versión de PHP no cambia, solo la revisión del paquete.\n\nEsa es la trampa: `php -v` muestra entonces una versión «antigua» aunque el código esté corregido, y una versión antigua cuyo changelog no cita las dos CVE sigue siendo vulnerable. Solo la lectura del changelog del paquete lo decide. Una versión 25.92, publicada el mismo día, reconstruyó además los metapaquetes para que su changelog también mencione el retroporte.",{"type":68,"title":141,"headers":142,"rows":146},"EasyApache 4 25.91: lo que publicó cPanel, paquete por paquete",[143,144,145],"Paquete","Qué cambió","Cómo comprobarlo",[147,151,154,157,160,164],[148,149,150],"ea-php85","8.5.11 a 8.5.12","Versión del paquete",[152,153,150],"ea-php84","8.4.26 a 8.4.27",[155,156,150],"ea-php83","8.3.35 a 8.3.36",[158,159,150],"ea-php82","8.2.34 a 8.2.35",[161,162,163],"ea-php81, ea-php80, ea-php74","Parche retroportado, número de PHP sin cambios","Changelog RPM: buscar las dos CVE",[165,166,167],"ea-php73 y anteriores","Ninguna entrada en el registro 25.91","Migrar, o ver CloudLinux más abajo",{"type":101,"title":169,"steps":170},"Comprobar que un paquete retroportado está realmente corregido",[171,174,177],{"title":172,"body":173},"Leer el changelog del paquete EasyApache","```bash\nrpm -qa 'ea-php*-php-cli'\nrpm -q --changelog ea-php81-php-cli | grep -E 'CVE-2026-(109618|109619)'\n```\n\nEl primer comando lista las ramas instaladas; el segundo se repite para cada una. Una línea que cite las CVE confirma la corrección. Ninguna línea: el paquete no está corregido, sea cual sea su número de versión.",{"title":175,"body":176},"Hacer lo mismo con los paquetes alt-php","En un servidor CloudLinux, las versiones elegidas en **Select PHP Version** son paquetes `alt-php`:\n\n```bash\nrpm -q --changelog alt-php85-common | grep -E 'CVE-2026-(109618|109619)'\n```",{"title":178,"body":179},"Repasar las cuentas una por una","En **WHM › MultiPHP Manager**, cada dominio debe apuntar a una rama cuyo paquete haya superado esta comprobación. Las ramas 7.4, 8.0 y 8.1 corregidas por retroporte siguen al final de su vida útil: son una posición de espera, no un destino.",{"type":36,"title":181,"body":182},"CloudLinux: la misma corrección, uno o dos días más tarde según el producto","CloudLinux publica sus propios paquetes, y no llegan a la vez que los de cPanel. Según su boletín, los paquetes `ea-php` (de 5.2 a 8.5) pasaron a estable el 21 de octubre, los `alt-php` el 22 de octubre en CloudLinux 7, 8 y 9, el PHP nativo del sistema el 22 de octubre a última hora (UTC) y los paquetes numerados como PHP.net el 23 de octubre.\n\nTambién son retroportes: `ea-php84` se queda, por ejemplo, en 8.4.26 con una revisión propia de CloudLinux (8.4.26-2) estando corregido. Dos puntos de atención: el 21 de octubre, unos `alt-php` anunciados como publicados estaban en realidad en el repositorio TuxCare ELS y no en los de CloudLinux; y el consejo de desactivar el repositorio `php-els`, dado el 22, se corrigió la noche del 23: déjelo activado. Por último, Imunify360 publicó sus reglas WAF el 21 de octubre (conjunto de reglas 8.83) y la versión 8.88 es estable desde el 23: bloquean vectores conocidos y no sustituyen a la actualización.",{"type":36,"title":184,"body":185},"El PHP interno de cPanel\u002FWHM y Roundcube: otro PHP que actualizar","MultiPHP y EasyApache gobiernan el PHP de sus sitios. Las interfaces de cPanel y WHM y el webmail Roundcube funcionan, en cambio, con un PHP interno que se entrega con el propio cPanel y que la elección de una versión en MultiPHP Manager no toca. El 21 de octubre de 2026, cPanel publicó una actualización de seguridad para ese PHP interno, precisando que «afecta a PHP en las interfaces de cPanel, incluido el webmail Roundcube».\n\nEntrega PHP 8.4.27 en cPanel & WHM 138.0.18, 136.0.50 y 134.0.66, y correcciones retroportadas para PHP 8.1.34 en la versión 110.0.153. Estas interfaces están abiertas a las conexiones de sus clientes y, por tanto, suelen ser accesibles desde internet: son objetivos prioritarios. Lea su versión con `\u002Fusr\u002Flocal\u002Fcpanel\u002Fcpanel -V` (o en el banner de WHM) y compárela con estos números. Si su serie no figura, no la dé por corregida: consulte las notas de versión de cPanel y pase a una serie que lo esté.",{"type":49,"title":187,"body":188},"Tras el parche, desactive igualmente el seguimiento del progreso de las subidas","El 23 de octubre de 2026, PHP publicó un aviso informativo complementario: recomienda mantener `session.upload_progress.enabled=0` hasta la próxima versión de corrección ordinaria, para protegerse de un vector de ejecución de código que considera poco probable. Afecta a las aplicaciones que configuran `session.serialize_handler` como `php_binary` o `php_serialize` y luego lo vuelven a poner en `php` en tiempo de ejecución con `ini_set()` antes de `session_start()`. PHP anuncia un aviso completo para CVE-2026-115560 con la próxima versión. El ajuste solo afecta a la barra de progreso de las subidas de archivos.",{"type":36,"title":190,"body":191},"Si no puede actualizar de inmediato","El aviso oficial de PHP propone ajustes que **reducen** la exposición sin hacer que la instalación sea segura. Sirven para ganar unas horas, no para sustituir el parche. Deben establecerse en `php.ini`, en el pool de PHP-FPM o en la configuración del servidor web, nunca mediante `ini_set()` ni con un archivo `.user.ini`: estos últimos se leen demasiado tarde, después del análisis de la solicitud.\n\nContra CVE-2026-109619, desactive el seguimiento del progreso de los envíos. En PHP 8.5, desactive también las trazas de errores fatales:\n\n```ini\n; en el pool FPM, por ejemplo \u002Fetc\u002Fphp\u002F8.3\u002Ffpm\u002Fpool.d\u002Fwww.conf\nphp_admin_flag[session.upload_progress.enabled] = off\n; solo PHP 8.5:\nphp_admin_flag[fatal_error_backtraces] = off\n```\n\nContra CVE-2026-109618, el aviso recomienda `memory_limit = -1` impuesto mediante `php_admin_value`, para que ninguna aplicación pueda redefinirlo, y un tamaño de solicitud acotado (`post_max_size = 8M`, o 32M si necesita envíos de archivos). A cambio, la memoria debe limitarse en otro lugar, mediante un límite de contenedor o de cgroup. No utilice `RLIMIT_AS` ni `RLIMIT_DATA`: son precisamente los que provocan el fallo de asignación vulnerable.\n\nDespués, reinicie **todos** los procesos PHP para que los ajustes se apliquen.",{"type":49,"title":193,"body":194},"Añada una barrera delante de PHP","Limite el tamaño de las solicitudes en el servidor web, antes de que lleguen a PHP: `client_max_body_size 8m;` en nginx, `LimitRequestBody 8388608` en Apache. Si su sitio pasa por Cloudflare en modo proxy, se han desplegado reglas WAF dirigidas a los vectores conocidos de PHP2Shell para todas las cuentas, incluido el plan gratuito. Son redes de seguridad: solo la actualización de PHP cierra el fallo.",{"type":36,"title":196,"body":197},"Buscar rastros de explotación","Los intentos publicados dejan rastros característicos: procesos PHP que se caen, desbordamientos de memoria en ráfaga y envíos `multipart` anormalmente voluminosos. Si su servidor estuvo expuesto antes de la actualización, dedique diez minutos a comprobarlo.",{"type":101,"title":199,"steps":200},"Controles que realizar después del parche",[201,204,207,210],{"title":202,"body":203},"Buscar los procesos PHP-FPM terminados","```bash\nsudo grep -E 'exited on signal (11|6)' \u002Fvar\u002Flog\u002Fphp*-fpm.log | tail -20\n```\n\nUna serie de procesos terminados por la señal 11 (SIGSEGV) desde el 21 de octubre es una señal de alerta.",{"title":205,"body":206},"Buscar los desbordamientos de memoria","```bash\nsudo grep -rh 'Allowed memory size' \u002Fvar\u002Flog\u002Fphp* \u002Fvar\u002Flog\u002Fnginx \u002Fvar\u002Flog\u002Fapache2 2>\u002Fdev\u002Fnull | tail -20\n```",{"title":208,"body":209},"Localizar los archivos PHP creados recientemente","```bash\nsudo find \u002Fvar\u002Fwww \u002Fhome -name '*.php' -newermt '2026-10-20' -not -path '*\u002Fvendor\u002F*' -not -path '*\u002Fcache\u002F*' -ls\n```\n\nUn archivo desconocido con un nombre genérico, en una carpeta de subidas o en `\u002Ftmp`, debe examinarse antes de eliminarlo.",{"title":211,"body":212},"En caso de duda, tratar el servidor como comprometido","Aísle la máquina, conserve una copia de los registros y, a continuación, renueve las contraseñas de la base de datos, las claves de API y los secretos presentes en los archivos `.env`: una fuga de memoria puede haberlos expuesto sin dejar ningún otro rastro.",{"type":40,"title":214,"items":215},"Otras señales que buscar, según las fuentes primarias",[216,217,218,219,220,221],"**Solicitudes `multipart` anormalmente voluminosas o muy anidadas** en los registros del servidor web (watchTowr).","**Procesos PHP que fallan o alcanzan su límite de memoria** (watchTowr).","**Archivos escritos en las raíces web y conexiones salientes de procesos PHP** que no sepa explicar (watchTowr).","**Nuevos web shells, tareas cron inesperadas y cuentas creadas recientemente** vinculadas a procesos PHP (watchTowr).","**Conservar antes de limpiar**: registros de PHP y del servidor web, instantáneas de configuración y archivos sospechosos, antes de modificar nada (watchTowr). La CISA asocia además a su entrada KEV requisitos de triaje forense.","**No se publica ningún indicador concreto**: a 27 de octubre, ni watchTowr, ni PHP, ni el aviso de GitHub de CVE-2026-109618 dan una dirección IP, un hash, un nombre de archivo o una firma de solicitud. Desconfíe de las listas de indicadores sin fuente: la ausencia de una dirección en sus registros no prueba nada.",{"type":36,"title":223,"body":224},"En un alojamiento compartido","En un alojamiento compartido, no es usted quien actualiza PHP: es el proveedor de alojamiento quien mantiene las versiones disponibles. Su parte del trabajo consiste en comprobar que su sitio utiliza una rama que todavía recibe parches. En cPanel, la herramienta de selección de versión (**MultiPHP Manager**, o **Select PHP Version** en un servidor CloudLinux) indica la versión activa de cada dominio. Si su sitio todavía funciona con 7.4, 8.0 u 8.1, esas ramas ya no reciben versiones oficiales de PHP: cambie a 8.3 u 8.4 después de probar su sitio, siguiendo \u003Ca href=\"\u002Fes\u002Fblog\u002Fphp-82-fin-de-vida-planificar-la-migracion\">nuestra lista de comprobación para migrar PHP\u003C\u002Fa>.",{"type":36,"title":226,"body":227},"La documentación oficial","Los detalles técnicos y los ajustes de mitigación se publican en \u003Ca href=\"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php\">el aviso de seguridad de PHP\u003C\u002Fa> y en los avisos de GitHub \u003Ca href=\"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-w8hw-w9fx-j79w\">GHSA-w8hw-w9fx-j79w\u003C\u002Fa> (CVE-2026-109618) y \u003Ca href=\"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-6wmf-4rv5-p3rp\">GHSA-6wmf-4rv5-p3rp\u003C\u002Fa> (CVE-2026-109619). Para los paquetes de distribución, consulte \u003Ca href=\"https:\u002F\u002Fubuntu.com\u002Fblog\u002Fphp2shell-vulnerability-fixes-available\">el anuncio de Ubuntu\u003C\u002Fa> y \u003Ca href=\"https:\u002F\u002Falmalinux.org\u002Fblog\u002F2026-10-21-php2shell-cve-2026-109618-cve-2026-109619\u002F\">el de AlmaLinux\u003C\u002Fa>. Para el seguimiento: \u003Ca href=\"https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog\">el catálogo KEV de la CISA\u003C\u002Fa>, \u003Ca href=\"https:\u002F\u002Fdocs.cpanel.net\u002Fchangelogs\u002Feasyapache-4-change-log-25\u002F\">el registro de cambios de EasyApache 4\u003C\u002Fa>, \u003Ca href=\"https:\u002F\u002Fdocs.cpanel.net\u002Frelease-notes\u002Frelease-notes\u002F\">las notas de versión de cPanel & WHM\u003C\u002Fa>, \u003Ca href=\"https:\u002F\u002Fblog.cloudlinux.com\u002Fphp-cve-2026-109618-and-cve-2026-109619\">el boletín de CloudLinux\u003C\u002Fa> y \u003Ca href=\"https:\u002F\u002Fwatchtowr.com\u002Fintelligence\u002Fphp-cve-2026-109618-faq\u002F\">las preguntas frecuentes de watchTowr\u003C\u002Fa>.","Mantenga el control de sus versiones de PHP","En un VPS ServOrbit.com, usted dispone de acceso root: aplica un parche de PHP en cuanto se publica, elige la versión de cada sitio y reinicia sus servicios cuando lo decide.","Descubrir los VPS","\u002Fvps-cloud",[233,250,271],{"id":234,"slug":235,"slugs":236,"title":240,"excerpt":241,"readTime":242,"views":243,"isPinned":19,"noindex":19,"publishedAt":244,"updatedAt":245,"category":246,"categories":247,"featuredImage":30,"bgImage":31,"posterImage":249,"relatedSolution":30},382,"actualizaciones-seguridad-vps-debian-ubuntu",{"fr":237,"en":238,"ar":239,"es":235},"securite-vps-mises-a-jour-automatiques-debian-ubuntu","vps-automatic-security-updates-debian-ubuntu","تحديثات-أمان-تلقائية-vps-debian-ubuntu","Actualizaciones de seguridad automáticas en VPS Debian\u002FUbuntu","Configure unattended-upgrades en sus VPS Debian\u002FUbuntu para automatizar los parches de seguridad y reducir la superficie de ataque en su flota de clientes.",10,2,"2026-09-26T00:00:00+00:00","2026-11-09T20:55:15+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[248],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fsecurite-vps-mises-a-jour-automatiques-debian-ubuntu-poster.svg",{"id":251,"slug":252,"slugs":253,"title":257,"excerpt":258,"readTime":259,"views":260,"isPinned":19,"noindex":19,"publishedAt":261,"updatedAt":21,"category":262,"categories":268,"featuredImage":30,"bgImage":31,"posterImage":270,"relatedSolution":30},206,"php-82-fin-de-vida-planificar-la-migracion",{"fr":254,"en":255,"ar":256,"es":252},"php-82-fin-de-vie-checklist-migration","php-82-end-of-life-planning-your-migration","نهاية-دعم-php-82-دليل-الترحيل","PHP 8.2 fin de vida: checklist de migración","PHP 8.2 llega al final de su ciclo de vida el 31 de diciembre de 2026. Inventaría tu stack, compara versiones y sigue una checklist detallada para migrar a PHP 8.3 o 8.4.",11,7,"2026-08-01T00:00:00+00:00",{"id":263,"name":264,"slug":265,"color":266,"icon":267},4,"Desarrollo","developpement","bg-warning\u002F10 text-warning","dev",[269],{"id":263,"name":264,"slug":265,"color":266,"icon":267},"\u002Fblog\u002Fcovers\u002Fphp-82-fin-de-vie-checklist-migration-poster.svg",{"id":272,"slug":273,"slugs":274,"title":278,"excerpt":279,"readTime":23,"views":280,"isPinned":19,"noindex":19,"publishedAt":281,"updatedAt":282,"category":283,"categories":284,"featuredImage":30,"bgImage":31,"posterImage":286,"relatedSolution":287},373,"wordpress-cve-2026-87902-actualiza-a-712-urgente",{"fr":275,"en":276,"ar":277,"es":273},"wordpress-cve-2026-87902-rce-mise-a-jour-7-1-2","wordpress-cve-2026-87902-update-to-712-now","ووردبريس-cve-2026-87902-ترقية-7-1-2","WordPress CVE-2026-87902: actualiza a 7.1.2 urgente","CVE-2026-87902 (CVSS 9.2) explotada activamente. Verifica tu versión, aplica WordPress 7.1.2 y entiende por qué el hosting compartido amplía tu exposición.",0,"2026-09-24T00:00:00+00:00","2026-10-26T18:53:20+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[285],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fwordpress-cve-2026-87902-rce-mise-a-jour-7-1-2-poster.svg",{"categorySlug":288,"appSlug":289},"cms-sitios-web","wordpress",true,1794270643311]