Comprobador de vulnerabilidades gratuito en línea, matriz de versiones mínimas seguras de PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35) y guías de parches.
Comprobación pasiva: envía una única solicitud GET no destructiva para inspeccionar cabeceras HTTP. Sin exploit ni cuerpo POST.
Fuente: Lanzamientos de seguridad de php.net y avisos de GitHub (publicados el 21 de octubre de 2026).
| Rama PHP | Alcance Vulnerable | Primera Versión Corregida | Estado Oficial y Acción Requerida |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | 8.5.12 | Soporte Activo — Actualizar a 8.5.12+ |
| PHP 8.4 | < 8.4.27 | 8.4.27 | Soporte Activo — Actualizar a 8.4.27+ |
| PHP 8.3 | < 8.3.36 | 8.3.36 | Soporte Activo — Actualizar a 8.3.36+ |
| PHP 8.2 | < 8.2.35 | 8.2.35 | Solo Seguridad (Fin dic 2026) — Actualizar a 8.2.35+ |
| PHP 8.6 | < 8.6.0RC4 | 8.6.0RC4 | RC de Desarrollo — Solo pruebas, no usar en producción |
| PHP 8.1, 8.0, 7.4 | Todas las versiones | Sin lanzamiento oficial | Fin de Ciclo (EOL) — Vulnerable a menos que el proveedor aplique parche |
| PHP 5.4 – 7.3 | Todas las versiones | Sin parche disponible | Vulnerable Heredado — Sin solución oficial — deshabilitar session.upload_progress |
Ubuntu, Debian y RHEL aplican parches de seguridad sin actualizar el número de versión (ej. Ubuntu 22.04 ofrece 8.1.2-1ubuntu2.28). Revise el changelog antes de alarmarse con nuestra guía.
Siga estos pasos en estricto orden. Ninguna otra medida proporciona protección completa contra PHP2Shell.
Audite servidores web, contenedores Docker, imágenes base y entornos de prueba. Tenga en cuenta que su versión CLI (php -v) puede diferir de la que ejecuta PHP-FPM o Apache.
Ver comandos de inventario →Actualice a las versiones oficiales: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Actualizar plugins CMS (WordPress, Drupal, Laravel) NO soluciona vulnerabilidades del núcleo de PHP.
Seleccionar guía de plataforma →PASO CRÍTICO: Los binarios actualizados no se cargan hasta que se reinicien los procesos trabajadores. Reinicie PHP-FPM, Apache, FrankenPHP y trabajadores de colas inmediatamente.
Confirme que el servidor web activo informe la versión corregida. Audite los registros de acceso desde principios de octubre de 2026 en busca de caídas anómalas en subidas multipart.
Volver a ejecutar comprobación →Comandos de actualización paso a paso, verificación de changelog y procedimientos de reinicio adaptados a su infraestructura.
Verifique versiones con dpkg, confirme parches en el changelog de CVE, actualice con apt-get y reinicie pools php-fpm de forma segura.
Leer Guía Ubuntu / DebianLos contenedores nunca se actualizan solos. Descargue imágenes base oficiales corregidas (ej. php:8.3.36-fpm), reconstruya stacks y despliegue contenedores limpios.
Leer Guía DockerAudite configuraciones multiversión de EasyApache 4 y paquetes CloudLinux alt-php. Verifique backports RPM y actualice mediante dnf/yum.
Leer Guía cPanelCómo proteger sitios WordPress en hosting compartido sin acceso root. Plantillas de tickets para proveedores y mitigación temporal con WAF.
Leer Guía de WordPressDespliegue filtros perimetrales de emergencia antes de que se puedan programar parches de backend. Sintaxis de reglas WAF y límites de inspección.
Leer Guía Cloudflare WAFComandos listos para copiar y pegar en RHEL, Plesk, aaPanel y FrankenPHP para verificar las versiones en ejecución activa.
Ir a los ComandosEjecute estos comandos vía SSH en sus servidores para determinar la versión real del paquete PHP activo:
dpkg -l 'php*' 'libapache2-mod-php*' | grep ^ii
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php*-common/changelog*rpm -qa | grep -Ei "^(php|ea-php|alt-php)" | sort
rpm -q --changelog php-common | grep -E "CVE-2026-10961[89]"docker exec -it <container_name> php -v
docker exec -it <container_name> php -m | grep sessionNo necesariamente. Ocultar X-Powered-By solo oculta la versión públicamente, pero no mitiga la vulnerabilidad de base. Ejecute los comandos CLI directamente en su servidor.
No. Solo envía una petición GET no destructiva para examinar cabeceras HTTP. No envía cargas útiles de exploit, cuerpos POST ni realiza escaneo de rutas.
Sí. Deshabilitar session.upload_progress.enabled = Off en su archivo global php.ini y recargar PHP-FPM neutraliza la ruta primaria del exploit UAF. No obstante, actualizar PHP es la única solución definitiva.
Las actualizaciones de paquetes solo reemplazan archivos en disco. Los procesos trabajadores activos retienen el código vulnerable en la memoria RAM hasta que se reinicien.
No. Aunque las reglas WAF pueden bloquear firmas conocidas, los atacantes pueden alterar delimitadores multipart o tamaños de fragmentos para evadir la inspección del WAF.
Sí. Todas las versiones desde 5.4 hasta 8.5 son estructuralmente vulnerables al UAF en RFC1867. Al estar en fin de vida (EOL), debe aplicar backports de la distribución o deshabilitar upload_progress.
La ejecución pura de CLI sin procesamiento de subidas multipart POST no suele estar expuesta. Sin embargo, las interfaces SAPI accesibles vía web (PHP-FPM, Apache mod_php, FrankenPHP, Swoole) son completamente vulnerables.
No. Los plugins de seguridad se ejecutan en el espacio de usuario de PHP DESPUÉS de que el motor procese las peticiones multipart. La vulnerabilidad se dispara en el código nativo en C antes de cualquier plugin.
Análisis técnico de cómo los atacantes arman PHP2Shell contra sistemas protegidos por ASLR sin necesidad de divulgación previa de memoria. Estudio de fallas de compilación PIE, herencia de memoria en fork() de Linux y matriz por distribuciones (Ubuntu, Debian, RHEL, Alpine).
Telemetría en bruto procedente de la red global de honeypots en Fráncfort, Madrid y Silicon Valley. Cómo los actores de amenazas armaron PHP2Shell (CVE-2026-109618 / CVE-2026-109619) en botnets automatizadas de ejecución remota de código.
Auditoría en lenguaje C de la vulnerabilidad CVE-2026-109619. Análisis detallado de php_session_rfc1867_callback(), el almacenamiento de punteros en el estado global y el desencadenamiento de Use-After-Free tras el reinicio de sesión.
Aviso técnico exhaustivo sobre PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Ejecución remota de código (RCE) no autenticada en el núcleo de PHP que afecta a entornos PHP-FPM, Apache mod_php y FrankenPHP. CVSS 9.2, versiones afectadas PHP 5.4–8.5.
Guía de mitigación técnica paso a paso para PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Procedimiento de endurecimiento en php.ini sin tiempo de inactividad, reglas de frontera Nginx y compilación de parches de emergencia para PHP 8.1 EOL.
Análisis técnico bajo el capó de la cadena completa de explotación RCE en PHP2Shell. Inmersión en la preparación del heap de Zend MM, construcción de estructuras zval falsas de 16 bytes, evasión de ASLR y redirección del flujo de control hacia zif_system().
Análisis de ingeniería ofensiva sobre los payloads armados en ataques reales de PHP2Shell. Por qué un exploit RCE completamente funcional mide menos de 500 bytes, por qué las reglas de longitud de WAF fallan y cómo funciona la manipulación de límites multipart.
Manual de ingeniería defensiva para PHP2Shell. Firmas de red Suricata listas para producción (SID 10261092), reglas dinámicas de detección de procesos en Falco y auditoría de llamadas al sistema con Linux auditd.
Playbook operativo integral para ingenieros DevOps y arquitectos de seguridad frente a PHP2Shell (CVE-2026-109618 / CVE-2026-109619). Reglas paso a paso en Nginx, firmas Coraza WAF y sandboxing con systemd en Linux.
Implementación de defensa en profundidad definitiva para entornos PHP-FPM. Cómo emplear filtros Seccomp-BPF para eliminar las capacidades de las llamadas al sistema execve, fork y clone, neutralizando matemáticamente los intentos de RCE.