Blog / Avisos de seguridad

Aviso de seguridad: PHP2Shell (CVE-2026-109618 y CVE-2026-109619)

Dos vulnerabilidades críticas en PHP permiten ejecución remota de código sin autenticación. Qué versiones corregir y qué hacer ahora.

10 de noviembre de 2026 · 3 min read

Aviso de seguridad · Severidad: crítica · Publicado: 10 de noviembre de 2026

El 20 y 21 de octubre de 2026 el proyecto PHP publicó actualizaciones de seguridad para dos vulnerabilidades críticas conocidas como PHP2Shell: CVE-2026-109618 y CVE-2026-109619. Ambas permiten ejecución remota de código sin autenticación ni interacción del usuario en servidores que procesan solicitudes web con PHP. CISA las incorporó a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 26 de octubre de 2026, y varios fabricantes de seguridad reportan escaneos e intentos de explotación activos.

Resumen

	CVE-2026-109618	CVE-2026-109619
Tipo	Uso de memoria no inicializada tras un error de falta de memoria (OOM) durante el cierre de la solicitud	Uso después de liberar (use-after-free) por estado global que sobrevive entre solicitudes del mismo worker
CVSS v4.0	9.2 (crítica)	9.2 (crítica)
Autenticación requerida	No	No
Impacto	Ejecución remota de código	Ejecución remota de código y divulgación de memoria del worker

Algunas fuentes publican también una puntuación CVSS 3.x de 9.8 para CVE-2026-109618. La complejidad de ataque se califica como alta, pero la disponibilidad de pruebas de concepto públicas y la explotación observada hacen que el riesgo práctico sea inmediato.

¿Quién está afectado?

Cualquier instalación de PHP que atienda solicitudes web, incluidas las que usan Apache con mod_php (el escenario de mayor riesgo según el proyecto PHP), PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. Esto incluye aplicaciones y CMS construidos sobre PHP, como sitios WordPress, y productos de terceros que incorporan PHP como componente.

Las ramas 8.1 y anteriores ya no reciben soporte regular: CISA recomienda sacar de línea esos sistemas hasta actualizarlos.

Versiones corregidas

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Si usas paquetes de tu distribución Linux, la versión puede conservar un número anterior con el parche aplicado (backport): verifica el aviso de seguridad de tu distribución.

Qué hacer ahora

Inventaria todos los sistemas con PHP, incluidos los que lo traen embebido en otros productos.
Actualiza de inmediato, empezando por los sistemas expuestos a internet. Actualizar es la única corrección completa.
Si no puedes actualizar ya, restringe el acceso público o aísla el servicio y aplica las mitigaciones temporales del proyecto PHP, por ejemplo:
- Para CVE-2026-109619: session.upload_progress.enabled=0 en php.ini o en la configuración del pool de FPM (no con ini_set() ni .user.ini) y reinicia los workers; en PHP 8.5, fatal_error_backtraces=0.
- Para CVE-2026-109618: límites estrictos de tamaño de solicitud (post_max_size, upload_max_filesize, max_input_nesting_level, max_file_uploads) y límites en el proxy o servidor web.
- Un WAF puede reducir la exposición mientras parcheas, pero no reemplaza la actualización.
Vigila señales de compromiso: procesos de PHP (php-fpm, httpd/apache2) que lanzan shells, descargan herramientas o abren conexiones salientes inusuales. CISA publicó reglas SIGMA de detección en su repositorio de GitHub.
Si el sistema estuvo expuesto sin parche, trata el incidente como posible compromiso: la divulgación de memoria puede exponer contraseñas, tokens y llaves de API. Rótalos tras actualizar.

Cómo te ayuda MUUSA

U-SIEM puede correlacionar la telemetría de servidores web y endpoints para detectar procesos de PHP que lanzan shells o conexiones salientes anómalas.
V-SOC MDR vigila estas alertas 24/7 y escala con el procedimiento acordado.
Respuesta a incidentes y Compromise Assessment te ayudan a determinar si un servidor expuesto ya fue comprometido.

¿Necesitas apoyo para evaluar tu exposición? Agenda una revisión con nuestro equipo.

Referencias

CISA — Critical Vulnerabilities in PHP Require Immediate Patching (21 de octubre de 2026, actualizado el 26 de octubre).
Qualys — PHP2Shell: Find, Mitigate, and Patch Now.
Palo Alto Networks Unit 42 — Threat Brief: CVE-2026-109618, CVE-2026-109619.
Arctic Wolf — PHP2Shell: Critical PHP Vulnerabilities Enable Unauthenticated Remote Code Execution.

Este aviso resume información pública de las fuentes citadas a la fecha de publicación. Verifica siempre las recomendaciones oficiales del proyecto PHP y de tu proveedor.