¿Por qué existe PHP2Shell.help?
Los avisos oficiales están escritos para desarrolladores de PHP y administradores de servidores. La mayoría de las personas responsables de una web necesitan algo más sencillo: ¿mi web está afectada y qué tengo que hacer exactamente? Respondemos a esas preguntas con un lenguaje claro, para quienes tienen acceso al servidor y para quienes no, y mantenemos las respuestas al día con las fuentes oficiales.
¿Cómo decide el comprobador PHP2Shell?
A partir de la versión de PHP y la configuración que introduces, comparadas con la primera versión corregida de cada rama y con las versiones de paquetes publicadas por los distribuidores. Nada más.
- Hay cuatro resultados posibles: en el rango afectado, coincide con una versión corregida, revisa el parche de tu proveedor y aún no se puede saber.
- La comprobación de la versión se hace en tu navegador. La comprobación opcional por URL envía a una web una sola petición HEAD para leer sus cabeceras, y nada más. El sitio nunca ejecuta exploits.
- Una medida temporal o un WAF nunca convierten un resultado en «corregido».
- Un resultado obtenido desde la línea de comandos se marca como no concluyente sobre lo que usa tu web.
- Ningún resultado dice si una web fue hackeada en el pasado.
Pruébalo en el comprobador PHP2Shell o en el comprobador de versión PHP.
¿Qué fuentes usa PHP2Shell.help?
Primero las oficiales: el anuncio de seguridad de PHP y los dos avisos de seguridad de GitHub; después, los distribuidores de sistemas operativos, los proveedores de hosting y los organismos nacionales de ciberseguridad, y por último la investigación original. Cada página enumera sus fuentes y la fecha en que las revisamos. Lo que no hemos podido verificar se marca como no verificado; nunca lo completamos con suposiciones. Los cambios quedan registrados en el historial de cambios.
¿Cómo se financia PHP2Shell.help?
Por ahora es un proyecto voluntario, sin publicidad ni enlaces de afiliados. Si más adelante incorporamos alguna fuente de financiación, como enlaces de afiliados claramente identificados, recomendaciones de servicios revisados o donaciones, se aplicarán estas reglas:
- Los enlaces de afiliados se identifican como tales en todas las páginas donde aparezcan.
- Solo recomendamos proveedores de hosting que hayamos verificado que han instalado la corrección de PHP2Shell, e indicamos la fecha de la comprobación.
- El contenido de afiliados nunca aparece dentro de los resultados del comprobador, y ninguna fuente de ingresos influye en un resultado ni en una recomendación de corrección.
- Nunca usamos un lenguaje alarmista para empujarte hacia un afiliado.
Usamos Google Analytics para contar las visitas; consulta la página de privacidad.
¿PHP2Shell.help es oficial?
No. Es un recurso comunitario independiente. Para declaraciones oficiales, sigue los enlaces a The PHP Group, al distribuidor de tu sistema operativo y al organismo de ciberseguridad de tu país (en España, INCIBE).
¿Cómo aviso de un error?
Indícanos la página, qué está mal y un enlace a tu fuente. Corregimos los datos rápidamente y dejamos constancia en el historial de cambios. Escríbenos a [email protected].
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- RCE via OOM corruptionOficial The PHP Group
- RCE via stale global stateOficial The PHP Group