# PHP2Shell: todo sobre la vulnerabilidad crítica de PHP

> PHP2Shell explicado de forma comprensible: CVE-2026-109618 y CVE-2026-109619, versiones afectadas, revisión, reinicio y medidas provisionales.

Fuente: https://phpsos.de/es/php2shell/  
Actualizado: 25/10/2026  
Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6

Dos vulnerabilidades críticas en el propio PHP, CVSS 9.2, código malicioso sin autenticación. Aquí encontrará qué está demostrado, qué versiones son seguras y qué hacer ahora.

- [¿Qué es PHP2Shell? La vulnerabilidad explicada](https://phpsos.de/es/php2shell/was-ist-php2shell/): PHP2Shell son dos vulnerabilidades críticas en el propio PHP que permiten a los atacantes ejecutar código en servidores web sin autenticarse. La situación, en palabras claras.
- [CVE-2026-109618: RCE por un estado de falta de memoria](https://phpsos.de/es/php2shell/cve-2026-109618/): CVE-2026-109618 es una de las dos vulnerabilidades de PHP2Shell: un estado de falta de memoria puede interrumpir PHP en pleno procesamiento de la petición. Corregida desde PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- [CVE-2026-109619: RCE por un estado global obsoleto](https://phpsos.de/es/php2shell/cve-2026-109619/): CVE-2026-109619 es la segunda vulnerabilidad de PHP2Shell: el estado interno de una petición puede persistir tras liberar la memoria y ser aprovechado por la siguiente petición en el mismo worker.
- [CVE-2026-115560: aviso sobre Session-Upload-Progress](https://phpsos.de/es/php2shell/cve-2026-115560/): CVE-2026-115560 es un aviso de php.net del 23/10/2026: posible ejecución de código solo con una configuración de sesión poco habitual. Solución hasta la próxima versión: session.upload_progress.enabled=0.
- [¿Qué versiones de PHP están afectadas?](https://phpsos.de/es/php2shell/betroffene-php-versionen/): PHP2Shell está corregida en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para PHP 8.1 y anteriores ya no hay actualizaciones oficiales. La tabla muestra el estado de cada rama.
- [Comprobar correctamente la versión de PHP y el estado del parche](https://phpsos.de/es/php2shell/php-version-pruefen/): La versión de PHP que se muestra no dice por sí sola si PHP2Shell está cerrada. Lo decisivo son el estado del paquete, los backports y si los procesos nuevos se están ejecutando realmente.
- [Por qué mod_php soporta el mayor riesgo](https://phpsos.de/es/php2shell/mod-php-risiko/): En Apache con mod_php, el equipo de PHP considera máximo el riesgo de PHP2Shell: allí se demostró un exploit antes de que se ejecute el código de la aplicación. Así comprueba y actúa.
- [Tras la actualización: reiniciar PHP-FPM y todos los workers](https://phpsos.de/es/php2shell/php-fpm-neustart/): Una actualización de PHP solo surte efecto cuando se han reiniciado todos los procesos de PHP. Aquí están los comandos para PHP-FPM, Apache, LiteSpeed y contenedores, y cómo comprobar el reinicio.
- [Medidas inmediatas si todavía no puede parchear](https://phpsos.de/es/php2shell/sofortmassnahmen-ohne-patch/): Si la actualización de PHP aún no es posible, las medidas provisionales de php.net reducen el riesgo, pero no protegen por completo. Así se aplican correctamente.
- [PHP 8.1 y anteriores: qué rige ahora](https://phpsos.de/es/php2shell/php-8-1-und-aelter/): Para PHP 8.1, 8.0, 7.4 y versiones anteriores no hay actualizaciones oficiales contra PHP2Shell. Qué aportan los backports de código fuente y cómo es el camino hacia una versión con soporte.
- [Parchear PHP en contenedores Docker](https://phpsos.de/es/php2shell/docker-container-patchen/): Los contenedores no se parchean solos. Contra PHP2Shell debe reconstruir o descargar de nuevo la imagen de PHP y recrear cada contenedor a partir de la imagen nueva.
- [¿Ya estoy comprometido? Indicios tras PHP2Shell](https://phpsos.de/es/php2shell/bin-ich-gehackt-anzeichen/): Para PHP2Shell no hay indicadores de compromiso confirmados. Cómo reconocer aun así si su servidor ha sido hackeado y cómo comprobarlo sin destruir rastros.