<?php Comprobación de seguridad de PHP independiente
¿Afecta PHP2Shell a su PHP?
Dos fallos críticos en el propio PHP permiten la ejecución remota de código. Se corrigieron el 21 de octubre de 2026. Compruebe qué revela un sitio web sobre su versión de PHP, o pegue una cadena de versión, y vea exactamente qué hacer.
- Pasiva: una solicitud normal, sin exploits
- Gratis, sin registro, sin anuncios
- Basada en php.net y los avisos oficiales
2Comprobar una versión
Se evalúa en su navegador; no se nos envía nada. Una versión por línea, hasta 20.
01 · php.net · 2026-10-23
Versiones corregidas
| Rama | Corregida en | Estado de la rama |
|---|---|---|
| PHP 8.5 | 8.5.12 | Con soporte activo |
| PHP 8.4 | 8.4.27 | Con soporte activo |
| PHP 8.3 | 8.3.36 | Solo correcciones de seguridad |
| PHP 8.2 | 8.2.35 | Solo correcciones de seguridad — fin de soporte el 31 dic 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Sin versión oficial | Fin de soporte — sin versión del proyecto PHP |
Fuente: aviso de seguridad de php.net, 21 de octubre de 2026. Última verificación: 2026-10-23.
¿Qué es PHP2Shell?
PHP2Shell es el nombre que los investigadores dieron a dos vulnerabilidades del motor de PHP: CVE-2026-109618 (corrupción de memoria cuando PHP se queda sin memoria al analizar una solicitud) y CVE-2026-109619 (estado interno que se conserva de una solicitud a la siguiente en el mismo proceso). Ambas tienen una puntuación CVSS v4.0 de 9.2.
Un atacante sin autenticar puede ejecutar código en el servidor o leer la memoria del proceso PHP —incluidas contraseñas, tokens de sesión, claves de API y certificados de otras solicitudes— sin ejecutar ningún código. Según php.net afectan a PHP cuando atiende solicitudes web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los investigadores demostraron ataques contra WordPress, Drupal y Joomla, pero no se requiere ninguna aplicación concreta: incluso una simple página «Hello World» sobre un PHP afectado está expuesta.
Qué hacer ahora
- Actualice a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o al paquete parcheado de su distribución.
- Reinicie todos los procesos PHP: PHP-FPM, Apache, procesos de colas, contenedores. Hasta entonces, la actualización no está activa.
- Compruebe cada PHP del servidor: los paneles suelen instalar varias versiones en paralelo.
02 · shell
Comprobar en el propio servidor
Una comprobación del sitio web solo ve lo que el servidor decide revelar. En el servidor, estos comandos dan la respuesta real:
# versión del PHP predeterminado
php -v
# otras versiones de PHP instaladas por paneles o paquetes
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# ajustes relacionados con las mitigaciones parciales
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# lo que su sitio revela a los visitantes
curl -sI https://su-sitio.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Preguntas habituales
¿Qué versiones de PHP están afectadas?
Todas las versiones anteriores a 8.5.12, 8.4.27, 8.3.36 y 8.2.35 en las ramas con soporte. PHP 8.1 y anteriores han llegado al fin de su soporte y no reciben ninguna versión del proyecto PHP; considérelas afectadas salvo que su proveedor confirme una corrección mediante backport.
Mi sitio no muestra ninguna versión de PHP. ¿Estoy a salvo?
No necesariamente. Ocultar la versión (expose_php = Off) es una buena práctica, pero no parchea nada. Compruébelo en el servidor con php -v o pregunte a su proveedor.
El comprobador muestra una versión antigua, pero mi proveedor dice que está parcheada. ¿Quién tiene razón?
Posiblemente ambos. Distribuciones Linux como Debian, Ubuntu y RHEL suelen aplicar backports de correcciones de seguridad sin cambiar el número de versión. Pregunte a su proveedor qué compilación del paquete está instalada y si su changelog menciona CVE-2026-109618 y CVE-2026-109619.
¿Están afectados WordPress, Laravel o mi CMS?
Los fallos están en el propio PHP, por lo que cualquier aplicación que se ejecute sobre un PHP afectado está expuesta. Los investigadores demostraron ataques sin autenticación contra WordPress, Drupal y Joomla, pero eran solo ejemplos: basta incluso con una simple página «Hello World». Actualizar WordPress o los plugins no lo corrige: hay que actualizar PHP.
¿Pueden filtrarse datos aunque no se haya ejecutado código?
Sí. CVE-2026-109619 puede divulgar la memoria del proceso PHP —contraseñas, tokens de sesión, claves de API y certificados de otras solicitudes— sin que el atacante ejecute código. Estas filtraciones no dejan archivos y son difíciles de detectar, así que cambie los secretos de cualquier sitio que haya ejecutado una versión afectada en Internet.