¿Hay corrección de PHP2Shell para un PHP sin soporte?
No en forma de versión nueva. El aviso de PHP explica que PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP, que algunas distribuciones y proveedores de soporte extendido (LTS) ofrecen correcciones con backport, y que hay que consultar al proveedor o actualizar a una versión con soporte.
Y añade que, dada la gravedad de estas vulnerabilidades, el equipo de seguridad de PHP preparó parches mínimos de código fuente (backports) para PHP 7.4, PHP 8.0 y PHP 8.1, pensados para quien compila desde el código fuente o no tiene acceso a un proveedor LTS.
Así que hay tres cosas distintas que no conviene confundir:
| Opción | ¿Existe para 7.4 / 8.0 / 8.1? | Para quién |
|---|---|---|
| Nueva versión oficial de PHP con la corrección | No | — |
| Parche oficial mínimo de código fuente | Sí | Quien compila PHP desde el código fuente |
| Paquete de la distribución o de un proveedor LTS | Algunos proveedores (por ejemplo, el paquete php8.1 de Ubuntu 22.04 está corregido) | Servidores que usan los paquetes de ese proveedor |
¿Qué versiones de PHP ya no tienen soporte?
Las ramas con soporte que reciben la corrección de PHP2Shell son 8.2, 8.3, 8.4 y 8.5:
| Rama | Primera versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 y anteriores | Sin versión nueva; parches oficiales del código fuente para 7.4, 8.0 y 8.1 |
PHP 8.1, 8.0, 7.4 y todas las anteriores ya no tienen soporte. El anuncio de PHP recuerda también que PHP 8.2 llega al final de su soporte el 31 de diciembre de 2026, así que pasarse a 8.2 da poco margen. La investigación original indica que al menos uno de los fallos de PHP2Shell se remonta a PHP 5.4.
Uso PHP 7.4. ¿Qué hago?
- Averigua de dónde viene tu PHP. Si te lo proporciona tu proveedor de hosting o tu distribución Linux, pregúntales o revisa su aviso de seguridad por si hay un paquete con backport.
- Si compilas PHP tú mismo, aplica el parche oficial de código fuente de tu rama, recompila, despliega y reinicia todos los procesos de PHP. Deja constancia del parche y de la compilación.
- Planifica el paso a una rama con soporte (8.3 o posterior). Es el único camino que sigue recibiendo correcciones de seguridad.
¿Y si uso PHP 7.3 o anterior?
No hay parche oficial de PHP2Shell para PHP 7.3 o anteriores: los parches de código fuente de PHP solo cubren 7.4, 8.0 y 8.1. Salvo que tu proveedor publique un paquete corregido para tu versión, la única solución es pasar a una rama con soporte. Si no puedes hacerlo pronto, plantéate desconectar la web o restringir el acceso, como aconsejan varias agencias nacionales para los sistemas que no se pueden actualizar.
¿Un número de versión como 7.4.33 demuestra que soy vulnerable?
No por sí solo. Un paquete con backport de tu proveedor o una compilación propia parcheada mantienen el número 7.4 aunque incluyan la corrección. Si indicas que PHP viene de un paquete del sistema operativo o que lo has compilado desde el código fuente, el comprobador de versión de PHP muestra «Revisa el parche de tu proveedor» en lugar de «En el rango afectado». Una compilación de 7.4 original sin parchear sí está afectada.
¿Se romperá mi web si paso de PHP 7.4 a 8.3?
Puede pasar. Los saltos de versión mayor eliminan funciones antiguas y cambian comportamientos, lo que afecta a plugins, temas y código a medida antiguos. Haz una copia de seguridad completa, prueba en una copia de staging, actualiza primero tu aplicación y tus plugins, y después del cambio revisa el inicio de sesión, los formularios, los pagos y las tareas programadas. Para WordPress, consulta la guía de versión de PHP en WordPress.
¿Puedo descargar aquí un instalador del parche de PHP2Shell?
No. Usa las descargas oficiales de código fuente y las ramas con backport enlazadas desde el anuncio de PHP. Cómo se aplican depende de tu compilación, tus extensiones y tu despliegue, así que no existe un instalador universal. Si prefieres no compilar PHP, usa un paquete de un proveedor o pasa a una versión con soporte.
¿Cómo demuestro que una compilación propia de PHP está parcheada?
Anota la revisión del código fuente, la rama con backport que aplicaste, la fecha de compilación y dónde se desplegó. Después confirma que la web usa de verdad la nueva compilación tras reiniciar los procesos; php -v en la línea de comandos puede seguir apuntando a otro binario. Consulta la guía para comprobar la versión de PHP y vuelve al comprobador PHP2Shell para ver la visión general.
¿Qué fuentes respaldan esta página?
- The PHP Group: aviso de seguridad
- The PHP Group: versiones con soporte
- The PHP Group: descargas
- Manual de PHP: instalación en sistemas Unix
- Wiz Research: investigación original
- Canonical: aviso de seguridad de Ubuntu
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- Supported VersionsOficial The PHP Group
- Downloads & Installation InstructionsOficial The PHP Group
- Installation on Unix systemsOficial The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetInvestigación Wiz Research
- USN-8948-1: PHP vulnerabilitiesProveedor Canonical