introducir
Se han descubierto dos vulnerabilidades de seguridad críticas que afectan a PHP y que pueden provocar la ejecución remota de código (RCE) no autenticada de cualquier aplicación PHP. A estas vulnerabilidades se les han asignado los identificadores CVE-2026-109618 y CVE-2026-109619, pero también se hace referencia a ellas mediante el apodo php2shell. Ubuntu ha publicado correcciones para los paquetes afectados para todas las versiones compatibles.
Ambas vulnerabilidades tienen una puntuación CVSS 4.0 de 9,2, lo que corresponde a una gravedad «crítica».
Estas vulnerabilidades se han divulgado de manera responsable y la Fundación PHP ha coordinado una divulgación de vulnerabilidades (CVD) con el revendedor, fijando una fecha de divulgación pública del 22 de octubre de 2026 a las 14:00 UTC. Sin embargo, debido a filtraciones públicas, la fecha de divulgación se trasladó al 21 de octubre de 2026 a las 14:00 UTC.
¿Qué versiones de Ubuntu se ven afectadas por php2shell?
| liberar | Nombre del paquete | Estado de reparación |
| Digno de confianza(14.04) | php5 | Corregido en 5.5.9+dfsg-1ubuntu4.29+esm18 |
| Mayor(16.04) | PHP7.0 | Corregido en 7.0.33-0ubuntu0.16.04.16+esm22 |
| Biónico(18.04) | PHP7.2 | Corregido en 7.2.24-0ubuntu0.18.04.17+esm14 |
| Enfoque (20.04) | PHP7.4 | Corregido en 7.4.3-4ubuntu2.29+esm5 |
| Jaime (22.04) | PHP8.1 | Corregido en 8.1.2-1ubuntu2.28 |
| Noble(24.04) | PHP8.3 | Corregido en 8.3.6-0ubuntu0.24.04.13 |
| Resuelto(26.04) | PHP8.5 | Corregido en 8.5.4-0ubuntu1.5 |
| Skinkin (26.10) | PHP8.5 | Corregido en 8.5.9-0ubuntu2.1 |
Cómo comprobar si estás afectado por php2shell
Puede verificar la versión de cualquier paquete instalado que coincida con el nombre del paquete del intérprete PHP usando el siguiente comando:
apt list '?installed ?name(^php[0-9.]+$)'El impacto de php2shell
Estas dos vulnerabilidades pueden afectar cualquier aplicación PHP. Un atacante no autenticado con acceso a la red de una aplicación web puede lograr fácilmente la ejecución remota de código arbitrario aprovechando las credenciales de la aplicación PHP en un sistema de destino.
Cómo aplicar correcciones para php2shell
Le recomendamos que actualice todos los paquetes:
sudo apt update && sudo apt upgradeSi esto no es posible, puede centrarse en los componentes afectados:
sudo apt update && sudo apt install --only-upgrade '?name(^php[0-9.]+$)'Es posible que sea necesario reiniciar las aplicaciones que utilizan el intérprete PHP. Por ejemplo, para aplicaciones que utilizan apache2 y mod_php, es necesario reiniciar el demonio de apache:
sudo systemctl restart apache2Alternativamente, puede reiniciar su sistema para asegurarse de que todas las aplicaciones estén utilizando los componentes actualizados:
sudo rebootLa función de actualización desatendida está habilitada de forma predeterminada en Ubuntu 16.04 LTS y superiores. Esta función:
- Se aplican nuevas actualizaciones de seguridad automáticamente cada 24 horas.
- Si esta función está habilitada, los parches anteriores se aplicarán automáticamente dentro de las 24 horas posteriores a su disponibilidad, pero las aplicaciones afectadas aún requerirán un reinicio o reinicio del sistema.
Ubuntu 26.10, 26.04 LTS, 24.04 LTS y 22.04 LTS reciben estas correcciones como parte del soporte estándar. Si utiliza Ubuntu 20.04 LTS o una versión anterior, una suscripción a Ubuntu Pro incluye hasta 15 años de garantía. Ubuntu 20.04 LTS y 18.04 LTS están cubiertos por el mantenimiento de seguridad extendido (ESM), mientras que Ubuntu 16.04 LTS y 14.04 LTS requieren ESM con complementos heredados. Ubuntu Pro es gratuito para hasta 5 máquinas o hasta 50 máquinas para miembros de la comunidad. Ubuntu Pro también brinda acceso a Landscape, lo que le brinda control sobre la implementación de correcciones de seguridad en sus activos. aprender más.
