¿Un WAF protege contra PHP2Shell?
Un WAF reduce el riesgo, pero no corrige PHP2Shell. PHP2Shell (CVE-2026-109618 y CVE-2026-109619) está en el propio PHP, y el anuncio de PHP dice que solo una actualización es una solución completa. Las reglas de WAF bloquean patrones de ataque conocidos en el tráfico que pasa por el WAF. Los atacantes ya están variando sus peticiones para esquivarlas, y las peticiones que llegan a tu servidor por otro camino nunca se inspeccionan.
¿Qué WAF tienen reglas contra PHP2Shell?
Estos proveedores han publicado protecciones contra PHP2Shell. Todo lo que aparece en la tabla procede del propio artículo de cada proveedor, a fecha de 22 de octubre de 2026:
| Proveedor | Qué ha publicado | ¿Tienes que hacer algo? |
|---|---|---|
| Cloudflare | Siete reglas administradas de emergencia el 21 de octubre, más una regla sobre las respuestas (artículo) | Free: no. De pago: confirma que el Managed Ruleset está en modo bloqueo. Consulta PHP2Shell y Cloudflare |
| AWS WAF | Recomendaciones en el boletín de AWS 2026-143: una regla de tamaño de cuerpo para CVE-2026-109618 y una regla personalizada para CVE-2026-109619; AWS dice que actualizará su grupo de reglas administradas para PHP | Sí: añade las reglas a tu web ACL |
| Fastly Next-Gen WAF | Una regla de plantilla (parche virtual) que cubre los dos CVE (artículo) | Sí: activa la regla de plantilla |
| Imperva | Cloud WAF protegido de serie; Elastic WAF 2.2.1 y WAF Gateway V14.7 / V15.5 LTS tras actualizar (artículo) | Cloud WAF: no. Elastic WAF y WAF Gateway: aplica las actualizaciones |
| Tencent Cloud | El WAF y Cloud Firewall ofrecen protección; Host Security lo detecta (aviso) | Comprueba en la consola que la protección está activa |
El aviso de seguridad de Alibaba Cloud (22 de octubre de 2026) pide a los clientes que usan Alibaba Cloud WAF o Cloud Firewall que mantengan la protección activada, y aclara que esto solo reduce el riesgo y no sustituye la actualización; no menciona reglas concretas. A fecha de 22 de octubre de 2026 no hemos encontrado ningún aviso oficial de Akamai sobre PHP2Shell.
¿Qué recomienda AWS WAF para PHP2Shell?
AWS enumera dos controles compensatorios en el boletín de seguridad 2026-143-AWS:
- Para CVE-2026-109618: la regla SizeRestrictions_BODY del conjunto de reglas básicas (Core rule set) de AWS WAF, que bloquea los cuerpos de petición de más de 8 KB (8.192 bytes).
- Para CVE-2026-109619: una regla personalizada que bloquea las peticiones POST que contienen
PHP_SESSION_UPLOAD_PROGRESSen el cuerpo junto conPHPSESSIDen el cuerpo o en una cookie. El boletín incluye el JSON de la regla para copiarlo.
AWS dice que ninguno de los dos es una mitigación completa y que actualizará el grupo de reglas administradas para PHP de AWS WAF. Para actualizar PHP en EC2, Lightsail o Elastic Beanstalk, sigue la guía del parche de PHP2Shell y los avisos de AWS.
¿Por qué un WAF no basta por sí solo?
Por tres motivos:
- Se puede rodear: el WAF solo ve el tráfico que pasa por él. Si tu servidor acepta conexiones directas, un atacante que descubra su dirección IP se salta el WAF por completo.
- Variantes: Cloudflare informó de que los atacantes modificaban sus cargas para esquivar sus reglas antes de que saliera el parche. Las reglas detectan patrones conocidos; las variantes nuevas pueden colarse hasta que se actualizan las reglas.
- El fallo sigue ahí: el PHP vulnerable sigue en tu servidor, igual que cualquier otra vía para llegar a él.
¿Qué más debo hacer aparte del WAF?
Actualiza PHP a la versión corregida de tu rama:
| Rama | Primera versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 y anteriores | Sin versión nueva; parches oficiales del código fuente para 7.4, 8.0 y 8.1 |
Comprueba tu versión con el comprobador PHP2Shell y sigue la guía del parche de PHP2Shell. Hasta que puedas actualizar, combina el WAF con las medidas temporales del propio PHP que encontrarás en la mitigación de CVE-2026-109618, y busca señales de intrusión con nuestra lista de comprobación: un WAF añadido después de la filtración no deshace una intrusión anterior.
¿Puede un WAF sustituir la actualización de PHP2Shell?
No. Todos los proveedores de esta página presentan sus reglas como un control compensatorio, y el anuncio de PHP dice que solo una actualización es una solución completa. Usa el WAF para ganar tiempo y actualiza PHP.
¿Pueden estas reglas de WAF romper mi web?
Pueden. La regla de tamaño de cuerpo que sugiere AWS bloquea los cuerpos de petición de más de 8 KB, lo que impide formularios grandes y subidas de archivos. Prueba primero en modo de recuento o registro si tu proveedor lo permite, y vigila las peticiones bloqueadas cuando pases a modo bloqueo.
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- Cloudflare deploys protections against php2shell vulnerabilityProveedor de CDN Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Free RulesetProveedor Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Managed RulesetProveedor Cloudflare
- Security Bulletin 2026-143-AWS: PHP CVE-2026-109618 and CVE-2026-109619Proveedor AWS
- Proactive protection for PHP2Shell (CVE-2026-109618 and CVE-2026-109619)Proveedor de CDN Fastly
- PHP2Shell: When PHP Runs Out of Memory at the Wrong MomentProveedor Imperva
- 【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）Proveedor 腾讯云
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- 【漏洞通告】PHP远程代码执行漏洞风险通告Proveedor 阿里云安全团队（官网公告·安全公告）