¿Qué paquetes de Ubuntu y Debian corrigen PHP2Shell?
Las filas de Ubuntu y Debian marcadas como «Corregido» proceden de los avisos de seguridad de cada proveedor. Cada versión corregida vale solo para esa versión de la distribución y su paquete oficial. Las filas marcadas como «No verificado» corresponden a otras imágenes, paneles y proveedores de hosting que aún no hemos confirmado.
| Proveedor | Versión del sistema | Paquete | Versión del paquete corregido | Estado |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corregido |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corregido |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corregido |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corregido |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corregido |
| Docker Official Images | — | php | — | No verificado |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corregido |
| XServer | — | PHP | — | No verificado |
| ConoHa WING | — | PHP | — | No verificado |
| ロリポップ！ | — | PHP | — | No verificado |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corregido |
Comprobado entre el 21 de octubre de 2026 y el 22 de octubre de 2026.
Si tu versión o tu paquete no aparecen, revisa el aviso de tu proveedor antes de sacar conclusiones en un sentido u otro.
¿Por qué PHP sigue mostrando una versión antigua después de actualizar?
Ubuntu, y Debian en algunas versiones, aplican las correcciones de seguridad con backport sobre la versión de PHP que distribuyen. Ubuntu 24.04, por ejemplo, incluye una versión temprana de PHP 8.3, y el paquete corregido mantiene esa versión de PHP: solo cambia la revisión del paquete. Por eso php -v puede mostrar un número inferior a 8.3.36 aunque el servidor esté parcheado. Compara la versión completa del paquete con la tabla de arriba, no PHP_VERSION.
¿Cómo actualizo PHP en Ubuntu o Debian?
- Instala las actualizaciones de seguridad pendientes de los paquetes de PHP desde los repositorios oficiales de tu distribución, con tu proceso habitual de actualización de paquetes.
- Comprueba la versión del paquete instalado frente al aviso del proveedor.
- Reinicia los servicios que ejecutan PHP: el servicio PHP-FPM de tu rama de PHP, o Apache si usas mod_php. Los nombres de los servicios dependen de tu instalación.
- Confirma el PHP que sirve tu web, no solo el de la línea de comandos: revisa la Salud del sitio de WordPress o tu panel de control si tienes uno, y compara la versión del paquete instalado con la tabla. Introduce ambos datos en el comprobador de versión de PHP.
Reiniciar solo Nginx u otro proxy frontal no reinicia PHP.
¿Cómo veo qué versión del paquete de PHP tengo instalada?
Pregúntaselo al gestor de paquetes, no a PHP. En Ubuntu y Debian, dpkg -l | grep php lista los paquetes de PHP instalados con su versión completa. Compara la versión del paquete que usa tu web (por ejemplo, el paquete de FPM o del módulo de Apache de tu rama de PHP) con la versión corregida de la tabla. Si tienes varias ramas de PHP instaladas en paralelo, revisa la que usa realmente tu web; la guía para comprobar la versión de PHP explica cómo saberlo.
¿Tengo que reiniciar el servidor?
Normalmente no. PHP2Shell se corrige en el propio PHP, así que lo importante es reiniciar los servicios de PHP: todos los pools de PHP-FPM, o Apache si PHP funciona como mod_php. Un reinicio completo también sirve si no sabes qué servicios usan PHP, pero planifícalo para que la web vuelva con los paquetes nuevos.
Uso un PPA o un repositorio de terceros. ¿Está cubierto?
No por los avisos de Ubuntu o Debian. Los paquetes de repositorios de terceros siguen su propio calendario y pueden ir con retraso; revisa los anuncios de ese repositorio y confirma que el paquete instalado incluye la corrección de CVE-2026-109618 y CVE-2026-109619.
¿Y Debian 12 u otras versiones?
Todavía no hemos verificado Debian 12 ni el resto de versiones. Consulta el rastreador de seguridad de Debian o los anuncios de tu distribución, y no deduzcas el estado a partir de otra versión.
¿Y LXC u otros contenedores en Ubuntu?
Actualiza PHP dentro del contenedor que sirve la web. Los paquetes del anfitrión no parchean el PHP de un contenedor. Para imágenes de Docker, consulta imagen Docker PHP.
¿Puedo pasarme directamente a la versión oficial de PHP?
Puedes, desde una fuente de confianza, pero mezclar orígenes de paquetes puede dejar la web con el binario antiguo. Elijas lo que elijas, reinicia PHP y comprueba después el PHP que usa la web. Las ramas antiguas sin versiones nuevas se tratan en PHP fin de soporte; los pasos generales están en la guía del parche de PHP2Shell y en el comprobador PHP2Shell.
¿Qué fuentes respaldan esta página?
- Canonical: USN de PHP
- Canonical: estado de CVE-2026-109618
- Canonical: estado de CVE-2026-109619
- Debian: aviso de seguridad
- The PHP Group: aviso de seguridad
- Manual de PHP: php_sapi_name
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- USN-8948-1: PHP vulnerabilitiesProveedor Canonical
- CVE-2026-109618Proveedor Canonical
- CVE-2026-109619Proveedor Canonical
- DSA-6574-1 php8.4 security updateProveedor Debian Security Team
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- php_sapi_nameOficial The PHP Group