Historial de cambios de PHP2Shell: cada cambio en nuestros datos y guías

¿Qué cambió el 22 de octubre de 2026?

• Comprobador: se añade la comprobación por URL. Introduce la dirección de una web y el comprobador lee la versión de PHP de sus cabeceras Server y X-Powered-By, con la lógica del php2shell-checker de OpenAI, y la evalúa con las reglas de este sitio. Envía una sola petición HEAD y no guarda nada más allá de una caché de 5 minutos. Se han actualizado la página de privacidad y los términos.
• Comprobador: ahora puedes pegar en el campo de versión la salida del php2shell-checker de OpenAI, una línea de php -v o una cabecera X-Powered-By; el comprobador extrae la versión y aplica sus reglas habituales.
• Datos: la página de la vulnerabilidad responde ahora si Node.js, Java u otros lenguajes están afectados: no lo están, PHP2Shell solo afecta a servidores que ejecutan PHP.
• Guías: se añaden guías de corrección para entornos concretos, cada una basada en el aviso y la documentación del propio proveedor: paneles de control (Plesk, aaPanel, CyberPanel, CloudPanel, DirectAdmin, HestiaCP, 1Panel), proveedores de hosting (SiteGround, Hostinger, Kinsta, WP Engine, Cloudways, GoDaddy, Bluehost, AWS), servidores (AlmaLinux/RHEL/Rocky, Amazon Linux 2023, Windows/IIS, LiteSpeed, XAMPP), aplicaciones (Magento, Drupal, Joomla, Laravel, Nextcloud, phpMyAdmin) y WAF (Cloudflare, AWS WAF y otros). La mayoría de estas guías solo están disponibles en inglés por ahora; las que hay en español aparecen en la página del parche.
• Datos: se explica por qué tantas webs se desconectaron (cierres preventivos de los que informó Reuters) y se añade la estimación de exposición de Unit 42, con sus límites.
• Proveedores: 宝塔 (la edición china de aaPanel) ha publicado correcciones: PHP 8.2–8.5 coinciden con las versiones corregidas oficiales, y 宝塔 ha empaquetado sus propias compilaciones parcheadas 7.4.34, 8.0.27 y 8.1.35. El comprobador considera corregidas 7.4.34 y 8.1.35 cuando eliges «宝塔 / aaPanel» como origen. Solo coincide con la compilación exacta: un número más alto, como 8.0.30, es una versión antigua de php.net sin la corrección, y 8.0.27 también es un número de versión antiguo de php.net, así que en ambos casos ahora se te pide que lo confirmes en el panel en lugar de mostrar «corregido».
• Datos: se añaden cuatro avisos nacionales más: CISA (Estados Unidos), CERT-In (India), ACN / CSIRT Italia (Italia) y la Dirección de Ciberseguridad de Turquía. La lista recoge ahora 21 avisos de 16 países y regiones; los de Italia y Turquía están marcados como aún no verificados en la fuente. La entrada de Canadá apunta ahora a su alerta AL26-026, que hemos verificado.
• Datos: CISA y el Centro Canadiense de Ciberseguridad dijeron que no habían observado explotación cuando publicaron sus avisos. El estado de explotación sigue siendo «intentos de ataque observados», sin ninguna intrusión con éxito confirmada.
• Datos: se añade la puntuación CVSS 4.0 de 9.2 para CVE-2026-109618 y CVE-2026-109619, tomada de los avisos de seguridad de GitHub.
• Datos: se añaden dos medidas temporales oficiales para CVE-2026-109618 del anuncio de PHP: eliminar el límite de memoria de PHP y reducir post_max_size. Como las demás medidas temporales, nunca cuentan como corrección.
• Datos: el estado de explotación pasa a «intentos de ataque observados». Cloudflare informó de tráfico de ataque y de payloads que iban cambiando antes del parche. No se ha confirmado ninguna intrusión con éxito.
• Datos: se añaden los primeros avisos de organismos nacionales de ciberseguridad, cada uno marcado según lo hayamos verificado o no en la fuente.
• Datos: se confirman los parches mínimos del código fuente de PHP para PHP 7.4, 8.0 y 8.1 (sin versiones nuevas para esas ramas).
• Guías: se añaden guías en japonés para cuatro proveedores japoneses de hosting.
• Comprobador: los resultados proceden solo de los datos que introduces en tu navegador; el sitio nunca se conecta a tu servidor.
• Páginas de CVE: CVE-2026-109618 y CVE-2026-109619 empiezan ahora con una ficha de la vulnerabilidad generada a partir de nuestros datos: CVSS, versiones afectadas y corregidas, configuraciones afectadas, medidas temporales, estado de explotación, paquetes corregidos de las distribuciones y fuentes oficiales.
• Guías: se añade PHP2Shell y WordPress, una autocomprobación para quienes gestionan webs con WordPress.

¿Qué incluía la primera versión del 21 de octubre de 2026?

• Datos: versiones corregidas 8.2.35, 8.3.36, 8.4.27 y 8.5.12, según el anuncio de seguridad de PHP.
• Datos: detalles de las vulnerabilidades tomados de los avisos GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp.
• Datos: versiones de los paquetes de los distribuidores tomadas de los avisos de seguridad de Ubuntu y Debian.
• Reglas: comprobación de versión con cuatro resultados: en el rango afectado, coincide con una versión corregida, revisa el parche de tu proveedor y aún no se puede saber.
• Guías: guía del parche con un mensaje para proveedores de hosting, además de guías para WordPress, cPanel y Plesk, Ubuntu y Debian, Docker, PHP sin soporte, medidas temporales y detección de intrusiones.

¿Qué seguimos para este historial de cambios?

Los anuncios y avisos de seguridad de PHP, los avisos de los distribuidores de sistemas operativos, los anuncios de los proveedores de hosting, los organismos nacionales de ciberseguridad y la investigación original. Los cambios que solo afectan a la redacción no se anotan; cualquier dato nuevo o corregido, regla de resultado o paso de una guía, sí.

¿Has encontrado un error?

Indícanos la página y un enlace a tu fuente; corregimos los datos rápidamente y anotamos la corrección aquí. Consulta acerca de PHP2Shell.help, o vuelve al comprobador PHP2Shell.