PHP2Shell: guía completa de verificación, mitigación y respuesta (CVE-2026-109618 y CVE-2026-109619)

Segu-Info cu­brió esta no­ti­cia desde el ini­cio del des­cu­bri­mien­to de las vul­ne­ra­bi­li­da­des crí­ti­cas de PHP2Shell en el nú­cleo de PHP. Su ex­plo­ta­ción exi­to­sa po­dría per­mi­tir a los ata­can­tes tomar el con­trol de los ser­vi­do­res afec­ta­dos, robar datos con­fi­den­cia­les y des­fi­gu­rar los si­tios web que se eje­cu­tan en ellos.

Estas vul­ne­ra­bi­li­da­des in­clu­yen la di­vul­ga­ción de me­mo­ria y la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción en el pro­pio PHP —in­de­pen­dien­te­men­te de la apli­ca­ción que se eje­cu­te sobre él—, lo que ex­po­ne a todos los si­tios web afec­ta­dos a un ries­go in­me­dia­to.

Ahora, en este ar­tícu­lo ana­li­za­mos la me­di­das de ve­ri­fi­ca­ción, de­tec­ción, de­fen­si­vas, mi­ti­ga­ción, res­pues­ta y de blo­queo de los ata­ques que se han visto en los úl­ti­mos días.

Todas las ver­sio­nes de PHP lan­za­das en la úl­ti­ma dé­ca­da, desde la ver­sión 5.4 en ade­lan­te, se ven afec­ta­das por al menos una de estas vul­ne­ra­bi­li­da­des. Los ata­can­tes pue­den ex­plo­tar­las de forma re­mo­ta y, en al­gu­nos casos, con re­la­ti­va fa­ci­li­dad. Se re­co­mien­da en­ca­re­ci­da­men­te apli­car los par­ches de se­gu­ri­dad de in­me­dia­to.

El 21 de oc­tu­bre de 2026, el equi­po de PHP pu­bli­có un par­che que co­rri­ge múl­ti­ples vul­ne­ra­bi­li­da­des re­la­cio­na­das con la se­gu­ri­dad de la me­mo­ria en el motor cen­tral…