PHP2Shell.help
Español
Menú
Versiones corregidas disponibles para PHP 8.2–8.5 Recurso comunitario independiente · datos verificados el 22 de octubre de 2026

Comprobador PHP2Shell / cve 2026 109618

CVE-2026-109618: ejecución remota de código en PHP por corrupción al quedarse sin memoria

CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) es un fallo crítico de PHP, con una puntuación CVSS 4.0 de 9,2: si PHP se queda sin memoria mientras prepara una petición, la limpieza posterior puede usar datos a medio inicializar y corromper la memoria, lo que puede acabar en ejecución remota de código. Está corregido en 8.2.35, 8.3.36, 8.4.27 y 8.5.12.

Equipo editorial de PHP2Shell.helpVerificado Fuentes oficiales ↓

Ficha de la vulnerabilidad

CVE
CVE-2026-109618
Aviso de GitHub
GHSA-w8hw-w9fx-j79w
Título oficial
RCE via OOM corruption
Gravedad
Crítica · CVSS 4.0 9.2CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Publicado
Verificado
Versiones afectadas
  • PHP 8.2: anteriores a 8.2.35
  • PHP 8.3: anteriores a 8.3.36
  • PHP 8.4: anteriores a 8.4.27
  • PHP 8.5: anteriores a 8.5.12
  • 8.1 y anteriores (5.4+): Sin versión nueva; parches oficiales del código fuente para 7.4, 8.0, 8.1
Corregido en
8.2.358.3.368.4.278.5.12
Configuraciones afectadas
PHP-FPM · Apache mod_php · CGI / FastCGI · FrankenPHP · LiteSpeed — Solo línea de comandos: no determinado
Medidas temporales (no son una corrección)
  • memory_limit = -1
  • post_max_size = 8M (32M if uploads are needed)
Todas las medidas temporales y sus límites →
Explotación
Intentos de ataque observados; no se ha confirmado ninguna intrusión con éxito (a fecha de 22 de octubre de 2026)
Paquetes corregidos de las distribuciones
  • Ubuntu 22.04 · php8.1 · 8.1.2-1ubuntu2.28
  • Ubuntu 24.04 · php8.3 · 8.3.6-0ubuntu0.24.04.13
  • Ubuntu 26.04 · php8.5 · 8.5.4-0ubuntu1.5
  • Ubuntu 26.10 · php8.5 · 8.5.9-0ubuntu2.1
  • Debian 13 · php8.4 · 8.4.27-1~deb13u1
  • 宝塔 / aaPanel · PHP 7.4 · 7.4.34
  • 宝塔 / aaPanel · PHP 8.0 · 8.0.27
  • 宝塔 / aaPanel · PHP 8.1 · 8.1.35
  • 宝塔 / aaPanel · PHP 8.2–8.5 · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
  • 1Panel · 1panel/php · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)
Fuentes oficiales

¿Qué es CVE-2026-109618?

CVE-2026-109618 es una de las dos vulnerabilidades que forman PHP2Shell. El título oficial que le da PHP es «RCE via OOM corruption» (ejecución remota de código por corrupción al quedarse sin memoria). Cuando una reserva de memoria falla a mitad de la preparación de los datos de la petición, el código de limpieza de PHP puede tocar datos que nunca llegaron a inicializarse del todo. Corromper la memoria de esta forma puede permitir a un atacante ejecutar código mediante peticiones web normales.

El aviso de GitHub lo califica de crítico, con una puntuación CVSS 4.0 de 9,2 y el vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: se puede atacar por red, sin iniciar sesión y sin interacción del usuario, aunque la complejidad del ataque se considera alta y deben darse ciertas condiciones.

¿Qué versiones de PHP están afectadas por CVE-2026-109618?

Están afectadas todas las ramas con soporte que estén por debajo de su versión corregida. Las ramas antiguas también: PHP publicó parches de código fuente para 7.4, 8.0 y 8.1, pero no versiones nuevas, y la investigación original indica que al menos uno de los fallos de PHP2Shell se remonta a PHP 5.4.

RamaPrimera versión corregida
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 y anterioresSin versión nueva; parches oficiales del código fuente para 7.4, 8.0 y 8.1

Las distribuciones Linux publican sus propios paquetes corregidos, a menudo con números de versión que parecen más antiguos. La tabla siguiente también incluye imágenes, paneles y proveedores de hosting cuyo estado aún no hemos verificado:

ProveedorVersión del sistemaPaqueteVersión del paquete corregidoEstado
Ubuntu22.04php8.18.1.2-1ubuntu2.28Corregido
Ubuntu24.04php8.38.3.6-0ubuntu0.24.04.13Corregido
Ubuntu26.04php8.58.5.4-0ubuntu1.5Corregido
Ubuntu26.10php8.58.5.9-0ubuntu2.1Corregido
Debian13php8.48.4.27-1~deb13u1Corregido
Docker Official Images—php—No verificado
宝塔 / aaPanel—PHP 7.47.4.34Corregido
宝塔 / aaPanel—PHP 8.08.0.27Corregido
宝塔 / aaPanel—PHP 8.18.1.35Corregido
宝塔 / aaPanel—PHP 8.2–8.58.2.35 / 8.3.36 / 8.4.27 / 8.5.12Corregido
XServer—PHP—No verificado
ConoHa WING—PHP—No verificado
ロリポップ！—PHP—No verificado
1Panel—1panel/php8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)Corregido

Comprobado entre el 21 de octubre de 2026 y el 22 de octubre de 2026.

¿Cómo corrijo CVE-2026-109618?

Actualiza el PHP que sirve tu web a la versión corregida de su rama (o a una posterior), o instala el paquete parcheado de tu distribución, y después reinicia todos los procesos de PHP (los pools de PHP-FPM o Apache). La corrección de CVE-2026-109618 llega en las mismas versiones que la de CVE-2026-109619, así que una sola actualización cubre las dos. Instrucciones paso a paso: guía del parche de PHP2Shell.

Para PHP 7.4, 8.0 y 8.1, PHP publicó parches mínimos de código fuente, pero no versiones nuevas; las ramas más antiguas no tienen parche oficial. Consulta PHP fin de soporte.

¿Por qué se puede explotar que PHP se quede sin memoria?

Normalmente, que PHP detenga una petición por llegar a su límite de memoria es solo un error. Con CVE-2026-109618, un atacante puede provocar ese fallo justo cuando los datos internos de PHP están a medio preparar. La limpieza que viene después trabaja entonces con datos incoherentes, y la memoria corrompida se puede dirigir hacia la ejecución de código. Ocultar los mensajes de error no sirve: PHP aclara que error_reporting, display_errors y @ no cambian nada.

¿Hay alguna medida temporal para CVE-2026-109618?

Ninguna completa. PHP enumera medidas temporales que reducen la exposición, como quitar el límite de memoria de PHP y bajar post_max_size, pero advierte que no hacen segura una instalación: un fallo de reserva de memoria de más bajo nivel puede seguir llegando al código vulnerable. Detalles y límites: mitigación de CVE-2026-109618.

¿Cómo sé si mi servidor está afectado por CVE-2026-109618?

Averigua la versión de PHP y la configuración que usa realmente tu web e introdúcelas en el comprobador de versión de PHP. Un php -v en la línea de comandos puede mostrar un PHP distinto del que usa la web; la guía para comprobar la versión de PHP explica dónde mirar.

¿Se está explotando CVE-2026-109618?

Se han detectado intentos de ataque, pero no se ha confirmado ninguna intrusión con éxito. Cloudflare informó de tráfico de ataque de PHP2Shell contra sus clientes antes de que saliera la corrección. Ninguna de las fuentes que hemos revisado a fecha de 22 de octubre de 2026 confirma que se haya tomado el control de un servidor, y no enlazamos código de explotación. Considera expuesto cualquier PHP sin parchear que dé servicio en internet y actualízalo.

¿En qué se diferencian CVE-2026-109618 y CVE-2026-109619?

CVE-2026-109618 trata de la corrupción de memoria cuando falla una reserva de memoria durante la preparación de la petición. CVE-2026-109619 trata de un estado obsoleto de una petición ya terminada que reutiliza otra posterior. Las dos se corrigen en las mismas versiones y juntas se conocen como PHP2Shell. Visión general: vulnerabilidad PHP2Shell · comprobador PHP2Shell.

¿Qué fuentes respaldan esta página?

Comprueba si tu PHP está afectado por PHP2Shell

Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.

Comprobador PHP2Shell →

Fuentes

Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.