PHP2Shell: aplique el parche ya y reduce tu ventana de exposición

Qué ha pasado

El 21 de octubre de 2026, el proyecto PHP publicó parches de emergencia para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Ambas permiten la ejecución remota de código sin autenticación. Basta una sola petición manipulada para activar el fallo antes de que se ejecute cualquier línea de la aplicación, así que ni tu CMS, ni tu framework, ni tu página de acceso sirven de barrera.

Se detectaron intentos de explotación horas antes de que saliera el parche. Ya circulan análisis públicos y una herramienta de explotación.

Por qué esta vulnerabilidad es distinta

La mayoría de las vulnerabilidades web afectan a un plugin o a una aplicación concreta. PHP2Shell está en el propio PHP, en el código que procesa las peticiones entrantes. Eso significa que:

• Cualquier instalación PHP que sirva tráfico web está afectada, en particular PHP-FPM, Apache con mod_php y php-cgi.

• Las configuraciones por defecto son vulnerables.

• Las versiones antiguas son el caso más complicado. Para PHP 7.4, 8.0 y 8.1 solo existen retroportaciones en código fuente, que hay que compilar uno mismo u obtener de la distribución. Para PHP 7.3 y anteriores no existe ninguna corrección. Y una parte importante de los sitios PHP sigue en PHP 7 o versiones más antiguas.

Para la dirección: tres acciones esta semana

1. Pide un inventario. ¿Qué webs públicas, herramientas internas y equipos de proveedores usan PHP? Los appliances y los servicios alojados suelen quedarse fuera.

2. Prioriza el parche. Esto no puede esperar a la próxima ventana de mantenimiento.

3. Decide qué hacer con lo que no se puede parchear rápido. Las aplicaciones heredadas sobre versiones antiguas de PHP necesitan una decisión: actualizar, aislar o desconectar.

Para los equipos técnicos: parchear y mitigar

Versiones corregidas

Reinicia los workers de PHP tras actualizar para que ningún proceso siga ejecutando el código antiguo.

Si hoy no puedes aplicar el parche

• Desactiva session.upload_progress.enabled en php.ini o en tu pool de PHP-FPM.

• Revisa memory_limit y post_max_size.

• En sitios que no necesiten subida de archivos, valora rechazar las peticiones multipart/form-data en el servidor web. Pruébalo antes: puede romper formularios de subida o de pago.

• Para sistemas críticos que sigan sin parche, una página de mantenimiento estática o desconectar el servidor sigue siendo la opción más segura.

El papel de CYBERDEFENSE.AI

Seamos claros: ningún WAF sustituye al parche. PHP2Shell se activa dentro del propio procesamiento de peticiones de PHP, y la corrección tiene que hacerse ahí.

Lo que aporta una capa de defensa preventiva es reducir el riesgo entre la divulgación y la corrección, que es justo cuando los atacantes actúan más rápido. CYBERDEFENSE.AI no espera a que alguien escriba una firma. Analiza el comportamiento en tiempo real y bloquea lo que no se parece a un visitante legítimo:

• escáneres automatizados que recorren miles de sitios buscando servidores PHP vulnerables,

• patrones de peticiones anómalos que no encajan con el uso normal de tu aplicación,

• IPs que ya muestran actividad maliciosa en la plataforma.

Así tus equipos ganan tiempo para parchear bien y en orden, sin improvisar de madrugada.

Puntos clave

• PHP2Shell afecta al propio PHP, no a una aplicación concreta. Da por hecho que estás afectado.

• Actualiza a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 y reinicia los workers.

• Las mitigaciones temporales dan margen, pero no cierran el agujero.

• Un WAF preventivo reduce el riesgo mientras parcheas. Es una capa más, no un sustituto.