PHP2Shell · CVE-2026-109618 · CVE-2026-109619
¿Qué versión de PHP anuncia su web?
El 21 de octubre de 2026 el proyecto PHP corrigió 2 vulnerabilidades críticas que la CISA denomina PHP2Shell (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2). Permiten ejecutar código en un servidor sin iniciar sesión. Introduzca un dominio y le mostraremos qué versión de PHP anuncia su web en las cabeceras y si coincide con la corrección.
Cómo leer el resultado
- Un número antiguo no demuestra una vulnerabilidad. Muchos proveedores de alojamiento aplican la corrección y mantienen el número de versión original.
- Un número actual es una buena señal, no una prueba. La cabecera puede cambiarla la configuración del servidor o un equipo situado delante de él.
- Si la web no anuncia la versión, no sabemos nada. Es lo que ocurre en la mayoría de las webs: de las 8.171 webs de empresas eslovacas que nos respondieron el 31 de octubre de 2026, solo 332 indicaban una versión de PHP en la cabecera (4,1 %).
Qué versiones contienen la corrección
| Rama | Corregida desde |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
El proyecto PHP ya no mantiene PHP 8.1 ni versiones anteriores. Algunas distribuciones de Linux y proveedores de soporte extendido añaden la corrección por su cuenta, consúltelo con ellos.
Qué hacer
- Actualice PHP a 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior, o al paquete corregido de su proveedor.
- Pregunte a quien gestiona el servicio qué versión de PHP utiliza y si contiene las correcciones de CVE-2026-109618 y CVE-2026-109619.
- Deje de anunciar la versión:
expose_php = Offenphp.inielimina la cabecera X-Powered-By.