PHP2Shell: parches urgentes para dos fallos críticos de PHP

El equipo de PHP ha publicado este 21 de octubre de 2026 actualizaciones de emergencia contra PHP2Shell, dos vulnerabilidades críticas que pueden permitir ejecutar código en servidores web sin autenticación. Cloudflare afirma haber observado tráfico de ataque dirigido contra estos fallos.

Los administradores deben instalar una versión corregida o el paquete equivalente de su proveedor. Las reglas de cortafuegos y los cambios de configuración no sustituyen los parches.

Qué versiones de PHP corrigen PHP2Shell

El aviso de seguridad del proyecto PHP insta a actualizar inmediatamente a la revisión correspondiente:

Rama utilizada	Versión corregida
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Las distribuciones Linux y los proveedores de soporte prolongado pueden incorporar los arreglos a sus propios paquetes sin adoptar exactamente estos números. Hay que comprobar su aviso de seguridad, no únicamente la versión base.

PHP 8.1 y anteriores ya no reciben actualizaciones oficiales ordinarias. Excepcionalmente, el equipo ha facilitado adaptaciones mínimas del código para PHP 7.4, 8.0 y 8.1. No equivalen a recuperar el soporte completo de esas ramas.

Cómo afectan los dos fallos a los servidores web

CVE-2026-109618 afecta al manejo del agotamiento de memoria. Una interrupción puede dejar datos internos parcialmente inicializados que después se procesan como válidos.

CVE-2026-109619 permite que determinados estados internos sobrevivan después de liberar la memoria de una petición. Otra solicitud atendida por el mismo proceso puede utilizar esas referencias obsoletas.

El impacto incluye ejecución de código con los permisos del proceso web. Eso no implica obtener automáticamente privilegios de administrador del sistema, pero puede comprometer los archivos y recursos accesibles para esa cuenta.

PHP considera especialmente elevado el riesgo de Apache con mod_php, donde se ha demostrado una vía de ataque anterior a la ejecución del código de la aplicación. Las condiciones y las vías verificadas varían entre entornos.

Cloudflare confirma tráfico de ataque

En su comunicación sobre las protecciones contra PHP2Shell, Cloudflare señala que ha observado tráfico dirigido contra sus clientes y ha desplegado reglas de su cortafuegos de aplicaciones web.

Estas defensas reducen la exposición a patrones conocidos, pero no acreditan que un servidor sin actualizar esté protegido frente a todas las variantes. Tampoco permiten determinar cuántos intentos han terminado en una intrusión.

Las mitigaciones temporales requieren precaución

Si no es posible actualizar de inmediato, los avisos oficiales describen ajustes para reducir vías concretas. Entre ellos figuran desactivar session.upload_progress.enabled y, en PHP 8.5, fatal_error_backtraces, reiniciando todos los procesos de trabajo.

Para el fallo de agotamiento de memoria, PHP contempla memory_limit=-1. Este cambio elimina el límite de memoria por petición y puede perjudicar la disponibilidad del servidor: no debe aplicarse aisladamente ni interpretarse como una corrección completa.

El proyecto propone acompañarlo de controles externos y límites de las solicitudes. También advierte contra sustituirlo por RLIMIT_AS o RLIMIT_DATA, porque pueden activar la condición vulnerable.

Qué comprobar después de actualizar

Verifica que todos los servicios, grupos de procesos y contenedores que atienden peticiones utilizan paquetes corregidos y que se han reiniciado los procesos necesarios. La versión de PHP de la terminal puede ser distinta de la utilizada por la web.

Si utilizas alojamiento administrado, pide confirmación al proveedor. Actualizar WordPress, sus complementos u otro gestor de contenidos no sustituye la actualización del intérprete PHP. Hasta poder corregirlo, valora restringir temporalmente la exposición del servicio afectado.