Vulnerabilidad PHP: actualizar PHP en aaPanel / BTPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

Vulnerabilidad PHP: estado de paquetes del proveedor

Una corrección confirmada indica publicación por el proveedor, no que tu servidor esté actualizado. Un estado sin confirmar carece de una revisión verificada para esa combinación.

Vulnerabilidad PHP: otras familias de paquetes

Estas familias tienen calendarios independientes. Identifica el repositorio; la corrección de una familia no demuestra la de otra.

BT confirma correcciones de la vulnerabilidad PHP para PHP 8.2–8.5 en sus paneles Linux y Windows. Actualiza la lista de software y cada runtime web. No hemos probado la instalación ni el reinicio del panel.

BT confirma correcciones adaptadas de la vulnerabilidad PHP para PHP 7.4, 8.0 y 8.1 solo en Linux. Las etiquetas 7.4.34, 8.0.27 y 8.1.35 son paquetes BT Linux, no versiones del proyecto PHP. No demuestran una corrección en BT Windows ni en otros proveedores. Confirma el build en el panel; no hemos probado la instalación.

BT no ha anunciado paquetes corregidos para esta vulnerabilidad PHP en PHP 8.1 o anterior de su panel Windows. La mitigación del progreso de carga de sesión solo aborda CVE-2026-109619 y no corrige CVE-2026-109618. Planifica migrar a una rama compatible y corregida. Las etiquetas de paquetes Linux no demuestran una corrección en Windows.

Identifica la fuente de la corrección de esta Vulnerabilidad PHP

Los paquetes del sistema, repositorios externos, imágenes y PHP del panel pueden ser instalaciones distintas. Comprueba sistema, arquitectura, repositorio y runtime del dominio: el mismo número corto puede tener parches distintos.

Una subida de código, una fecha prevista o una etiqueta RC no demuestra que se haya publicado la corrección de esta Vulnerabilidad PHP.

PHP 8.5: actualizar, reiniciar y verificar

PHP 8.4: actualizar, reiniciar y verificar

PHP 8.3: actualizar, reiniciar y verificar

PHP 8.2: actualizar, reiniciar y verificar

PHP 8.1: actualizar, reiniciar y verificar

PHP 8.0: actualizar, reiniciar y verificar

PHP 7.4: actualizar, reiniciar y verificar

Vulnerabilidad PHP: si no puedes actualizar todavía

La mitigación no corrige por completo esta Vulnerabilidad PHP. Desactivar el progreso de carga de sesiones solo reduce las rutas confirmadas de CVE-2026-109619; no corrige CVE-2026-109618 ni descarta otras rutas de estado residual.

session.upload_progress.enabled = Off

Aplica el ajuste en la configuración del runtime web antes de analizar las solicitudes y reinicia todos los procesos. No dependas de ini_set() ni de .user.ini de FPM. Se desactiva la función de progreso de carga de sesiones de PHP.

cleanup, strict_mode, only_cookies y HttpOnly son ajustes de sesión, no pruebas de corrección de estas CVE. El aviso también trata límites de petición, memoria y trazas de error; quitar el límite de memoria puede agotar recursos. Revisa las condiciones y el impacto operativo antes de cambiar otros ajustes.

Verificado: 2026-10-21 23:25:00 UTC

Fuente del proveedor ↗

Fuente del proveedor ↗

Comprobaciones tras corregir esta Vulnerabilidad PHP

Prueba peticiones críticas, acceso, cargas, registros, tareas y procesos en segundo plano. Reinicia todos los procesos PHP web y comprueba cada sitio. Guarda el repositorio y la revisión completa; planifica la migración de ramas EOL.

Preguntas frecuentes