CISA incorporó el 26 de octubre de 2026 las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell, a su catálogo de vulnerabilidades explotadas conocidas (KEV). Ambas pueden permitir ejecutar código a distancia sin autenticación en instalaciones de PHP sin corregir. Los administradores disponen de actualizaciones desde el 21 de octubre.
La inclusión en el catálogo indica que la agencia estadounidense considera acreditada la explotación de ambos fallos. No cuantifica los sistemas comprometidos ni identifica víctimas, por lo que no equivale a una constatación de ataques masivos. El plazo de corrección del 29 de octubre afecta a las agencias civiles federales estadounidenses; no es una fecha límite obligatoria para todos los operadores.
Qué instalaciones están expuestas
PHP señala como potencialmente expuestas las instalaciones que atienden peticiones web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. El proyecto considera mayor el riesgo con Apache mod_php, donde se ha demostrado una vía de ataque que actúa antes de que se ejecute el código de la aplicación. Las observaciones públicas de ejecución de comandos en sistemas señuelo corresponden a PHP 8.4.26 con mod_php; no permiten extrapolar el resultado a otras configuraciones.
Los fallos tienen mecanismos distintos: el primero afecta al tratamiento de una situación de memoria agotada; el segundo, a un estado interno que puede persistir entre peticiones atendidas por un mismo proceso.
Qué versiones corrigen PHP2Shell
Las versiones correctoras publicadas el 21 de octubre son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, según la rama instalada. PHP indica que actualizar es la única solución completa: las mitigaciones parciales no sustituyen la instalación de la corrección.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones ordinarias del proyecto. Quienes las mantengan deben comprobar si su distribuidor ofrece una corrección adaptada a esa versión o migrar a una rama compatible.
