php2shell: Parches de emergencia de PHP para CVE-2026-109618 y CVE-2026-109619

El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó parches de seguridad de emergencia para dos vulnerabilidades críticas registradas como CVE-2026-109618 y CVE-2026-109619, conocidas en conjunto con el apodo php2shell. Ambas tienen una calificación CVSS de 9.2 y las dos son del tipo de falla que debe tratarse como urgente y no como algo para programar: son problemas de seguridad de memoria y de ejecución remota de código en el núcleo de PHP que permiten que un atacante no autenticado ejecute código en un servidor expuesto. Afecta las ramas activas y, al menos en instalaciones antiguas, también versiones sin soporte.

Las dos vulnerabilidades

Los dos CVE son errores separados que comparten un tema común: el núcleo de PHP maneja mal su estado interno mientras una solicitud se encuentra en una condición poco habitual. Ambos se corrigieron en la misma versión de emergencia.

CVE-2026-109618 — Corrupción por falta de memoria (out-of-memory)

Esta tiene que ver con el manejo de la falta de memoria en PHP. Cuando una solicitud agota la memoria disponible, PHP interrumpe la ejecución a mitad del procesamiento, en un punto donde los datos de la solicitud solo están inicializados parcialmente. Bajo ciertas condiciones, las rutinas de limpieza que se ejecutan durante esa interrupción tratan esos datos a medio construir e inválidos como si fueran válidos. El resultado es una corrupción de memoria causada no porque el atacante envíe datos malformados directamente, sino porque lleva al servidor a un estado de agotamiento de memoria en el momento que elige.

CVE-2026-109619 — Estado global obsoleto

La segunda falla es un problema de tiempo de vida. Un estado interno que pertenece a una solicitud específica sobrevive después de que la memoria que lo respaldaba ya fue liberada. Eso es un use-after-free en el heap. Como el estado obsoleto sigue siendo alcanzable en una solicitud posterior, un atacante puede potencialmente moldear qué ocupa esa memoria liberada e influir en la ejecución, con la ejecución remota de código como el peor escenario. Esta clase de error es especialmente peligrosa en modelos de servidor persistentes, donde un proceso trabajador atiende muchas solicitudes en secuencia.

Cómo se encontraron las fallas

El descubrimiento contó con la ayuda de modelos de inteligencia artificial, incluyendo trabajo de Wiz, propiedad de Google, y de socios asociados a OpenAI e investigadores con base en California, según las notas de la versión que acompañan la corrección. Los detalles se filtraron antes de que pudiera completarse una ventana ordenada de divulgación, y eso es lo que provocó un ritmo de publicación de emergencia en lugar de un despliegue programado. En términos prácticos, eso significa que los exploits pueden desarrollarse más rápido de lo habitual y que la ventana entre la divulgación y la explotación es más corta de lo que asume un ciclo normal de parches.

Acción requerida: actualizar a una versión oficial

Actualiza a una de las versiones oficiales de seguridad que aparecen abajo. Estas son las versiones corregidas para cada rama activa; cualquier versión anterior dentro de la misma rama sigue siendo vulnerable.

Solo las ramas activas —PHP 8.2 y posteriores— reciben parches oficiales del fabricante. Las versiones heredadas desde PHP 5 hasta 8.1 están fuera de soporte y no recibirán correcciones oficiales del núcleo. Si todavía ejecutas una de esas, "esperar un parche" no es una opción que exista. Las alternativas realistas son actualizar la aplicación o contenerla.

Si no puedes actualizar de inmediato

Agencias como CERT-EU recomiendan la contención cuando no es posible aplicar el parche de inmediato. La contención no es una solución y debe tratarse como un puente de corto plazo con una fecha límite real asociada.

• Aísla las aplicaciones expuestas a internet que ejecuten compilaciones de PHP afectadas: ponlas detrás de una restricción de acceso, una red privada o una página de mantenimiento hasta que llegue la actualización.
• Coloca un firewall de aplicaciones web delante de la aplicación. Las reglas de Cloudflare y productos WAF equivalentes pueden bloquear patrones de explotación conocidos, pero se basan en patrones y nunca deben ser el único control.
• Restringe la aplicación a rangos de IP de origen conocidos cuando la audiencia lo permita. Para herramientas internas, esto por sí solo puede eliminar la exposición por completo.
• Desactiva o elimina aplicaciones PHP que no uses, instalaciones de prueba, entornos de staging y paneles de administración olvidados. El endpoint vulnerable más fácil de proteger es el que borras.
• Vigila los intentos de explotación en los registros del servidor web y de PHP mientras estés en este estado, y trata cualquier tráfico saliente inexplicable o proceso nuevo como sospechoso.

Dónde se esconde PHP en tu entorno

La razón más común por la que un negocio sigue expuesto después de un aviso de seguridad de PHP es que nadie sabe dónde se ejecuta PHP realmente. Casi nunca es solo el sitio web.

• Sistemas de gestión de contenido: WordPress, Drupal, Joomla y la mayoría de las instalaciones de CMS heredadas funcionan sobre PHP y heredan la versión del entorno de ejecución del host.
• Aplicaciones web personalizadas y desarrolladas por agencias, incluyendo sitios antiguos que nadie ha tocado en años pero que siguen siendo accesibles públicamente.
• Herramientas de webmail, mesa de tickets, facturación, CRM y mesa de ayuda desplegadas en tu propio servidor en lugar de como SaaS.
• Aplicaciones de línea de negocio locales con interfaz web: inventario, planificación, control de asistencia y herramientas de reportes suelen ser infractoras frecuentes.
• Servidores de desarrollo y staging, que normalmente están expuestos a internet, rara vez se parchean y a menudo comparten el mismo código que producción.

Hosting compartido, hosting administrado y contenedores

Si tu sitio vive en un hosting administrado de WordPress o en un host compartido, el entorno de ejecución es responsabilidad del proveedor, pero la confirmación es tuya. Pregunta directamente a tu proveedor qué versión de PHP ejecuta cada sitio y si ya se desplegó la versión corregida. "Nosotros nos encargamos de las actualizaciones" no es lo mismo que "tu sitio está en 8.4.27 hoy".

• Verifica si tu plan te permite fijar una versión de PHP. Si es así, confirma que la versión fijada sea una de las corregidas y no una compilación antigua congelada.
• En cargas de trabajo en contenedores, revisa la etiqueta de la imagen base. Una imagen fijada php:8.3-fpm seguirá siendo vulnerable hasta que la reconstruyas sobre una etiqueta parcheada y la vuelvas a desplegar; actualizar el host no hace nada.
• En máquinas virtuales y servidores autogestionados, la actualización debe aplicarse dentro de la instancia y hay que reiniciar el servicio PHP-FPM o Apache para que la corrección tenga efecto.

Verificar que la actualización realmente se aplicó

Instalar el paquete y ejecutar el código nuevo son dos cosas distintas. Un reinicio que nunca ocurrió, o un grupo de procesos antiguos que todavía atiende tráfico, es una falsa sensación de seguridad muy común.

1. 1Confirma que la versión instalada reporte una de las corregidas, por ejemplo ejecutando php -v en la línea de comandos.
2. 2Reinicia PHP-FPM, Apache o tu servidor de aplicaciones para que los procesos en ejecución carguen realmente el binario nuevo.
3. 3Confirma que el entorno de ejecución expuesto a la web coincide: una página phpinfo o un endpoint de estado de la aplicación puede mostrar una versión distinta a la de la CLI.
4. 4Repite la verificación en cada servidor del grupo y en cada réplica de contenedor, no solo en el primero.
5. 5Guarda un registro de la versión y de la fecha en que se verificó, para poder responder esa pregunta en una auditoría o en una revisión de seguridad de un cliente.

Preguntas que vale la pena hacerle a tu proveedor de IT esta semana

• ¿Cuáles de nuestros sistemas ejecutan PHP y qué versión tiene cada uno ahora mismo?
• ¿Tenemos instalaciones de PHP 8.1 o anteriores todavía en servicio? ¿Cuál es el plan de actualización para ellas?
• ¿Están parcheadas nuestras aplicaciones expuestas a internet y se ha reiniciado el servicio desde entonces?
• ¿Hay algo expuesto a internet que no necesite estarlo: staging, desarrollo, paneles de administración, sitios antiguos?
• ¿Tenemos registros que mostrarían un intento de explotación contra un endpoint PHP?

Por qué esta merece prioridad

Los negocios tienden a clasificar los avisos de seguridad según cuánto ruido generan en las noticias y no según qué tan alcanzable es el error. Esta se encuentra en la intersección de todo lo que hace costosa una vulnerabilidad: no requiere autenticación, es alcanzable de forma remota, conduce a ejecución de código, afecta el entorno de ejecución que impulsa una gran parte de la web y los detalles se filtraron con la suficiente anticipación como para que la investigación de exploits ya pueda estar en marcha. Parchear un entorno de ejecución de PHP suele ser una ventana de mantenimiento corta, mucho más corta que la recuperación después de un servidor web comprometido, que normalmente implica reconstruir desde un estado conocido como bueno, rotar cada credencial que la aplicación podía tocar y evaluar obligaciones de notificación.

Este artículo resume la versión de seguridad de PHP del 21 de octubre de 2026 para quienes toman decisiones de negocio. Confirma siempre los números de versión y las recomendaciones de remediación contra el anuncio oficial de PHP antes de actuar, ya que los detalles pueden revisarse mientras continúa el análisis.