Vulnerabilidad PHP: actualizar PHP en cPanelPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

Vulnerabilidad PHP: estado de paquetes del proveedor

Una corrección confirmada indica publicación por el proveedor, no que tu servidor esté actualizado. Un estado sin confirmar carece de una revisión verificada para esa combinación.

Vulnerabilidad PHP: otras familias de paquetes

Estas familias tienen calendarios independientes. Identifica el repositorio; la corrección de una familia no demuestra la de otra.

CloudLinux confirma correcciones alt-php estables en OS 7/8/9 y Ubuntu 22.04. OS 10 usa ELS para estas ramas y alt-php 5.2 también está en estable. OS 7/8/9 ya no necesita el cambio temporal a ELS. Revisiones exactas y CloudLinux 6 siguen sin verificar; comprueba ambas CVE en el changelog instalado. Instalación sin probar.

CloudLinux confirma estos backports ea-php en estable para OS 7/8/9/10. Expande las revisiones y comprueba sistema y familia; no se aplican a alt-php ni PHP nativo. Instalación por arquitectura sin probar: busca ambas CVE en el changelog instalado.

Identifica la fuente de la corrección de esta Vulnerabilidad PHP

Los paquetes del sistema, repositorios externos, imágenes y PHP del panel pueden ser instalaciones distintas. Comprueba sistema, arquitectura, repositorio y runtime del dominio: el mismo número corto puede tener parches distintos.

Una subida de código, una fecha prevista o una etiqueta RC no demuestra que se haya publicado la corrección de esta Vulnerabilidad PHP.

PHP 8.5: actualizar, reiniciar y verificar

PHP 8.4: actualizar, reiniciar y verificar

PHP 8.3: actualizar, reiniciar y verificar

PHP 8.2: actualizar, reiniciar y verificar

PHP 8.1: actualizar, reiniciar y verificar

PHP 8.0: actualizar, reiniciar y verificar

PHP 7.4: actualizar, reiniciar y verificar

cPanel · EasyApache 4

Pide al administrador que actualice con EasyApache 4 y compruebe cada dominio en MultiPHP Manager. No hemos probado un cPanel con licencia, por lo que no publicamos comandos de shell. CloudLinux alt-php es una familia distinta; pide una confirmación independiente.

Vulnerabilidad PHP: si no puedes actualizar todavía

La mitigación no corrige por completo esta Vulnerabilidad PHP. Desactivar el progreso de carga de sesiones solo reduce las rutas confirmadas de CVE-2026-109619; no corrige CVE-2026-109618 ni descarta otras rutas de estado residual.

session.upload_progress.enabled = Off

Aplica el ajuste en la configuración del runtime web antes de analizar las solicitudes y reinicia todos los procesos. No dependas de ini_set() ni de .user.ini de FPM. Se desactiva la función de progreso de carga de sesiones de PHP.

cleanup, strict_mode, only_cookies y HttpOnly son ajustes de sesión, no pruebas de corrección de estas CVE. El aviso también trata límites de petición, memoria y trazas de error; quitar el límite de memoria puede agotar recursos. Revisa las condiciones y el impacto operativo antes de cambiar otros ajustes.

Verificado: 2026-10-21 23:25:00 UTC

Fuente del proveedor ↗

Fuente del proveedor ↗

Comprobaciones tras corregir esta Vulnerabilidad PHP

Prueba peticiones críticas, acceso, cargas, registros, tareas y procesos en segundo plano. Reinicia todos los procesos PHP web y comprueba cada sitio. Guarda el repositorio y la revisión completa; planifica la migración de ramas EOL.

Preguntas frecuentes