Guarda una copia de la aplicación, configuración y datos y prueba en staging. Para corregir esta Vulnerabilidad PHP, usa el repositorio y la rama instalados.
Vulnerabilidad PHP: estado de paquetes del proveedor
| Rama / Proveedor | Paquete corregido | PHP2Shell · Estado |
|---|---|---|
| PHP 7.4 sury · 11 | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
Una corrección confirmada indica publicación por el proveedor, no que tu servidor esté actualizado. Un estado sin confirmar carece de una revisión verificada para esa combinación.
Identifica la fuente de la corrección de esta Vulnerabilidad PHP
Los paquetes del sistema, repositorios externos, imágenes y PHP del panel pueden ser instalaciones distintas. Comprueba sistema, arquitectura, repositorio y runtime del dominio: el mismo número corto puede tener parches distintos.
Una subida de código, una fecha prevista o una etiqueta RC no demuestra que se haya publicado la corrección de esta Vulnerabilidad PHP.
PHP 7.4: actualizar, reiniciar y verificar
sury · 11
Sury publica versiones corregidas con soporte para amd64 en bookworm, trixie, jammy y noble; arm64 sigue mostrando versiones anteriores. Consulta arquitectura y revisión abajo; la fecha de un paquete EOL no demuestra el backport.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗Vulnerabilidad PHP: publicación de paquetes por arquitectura
Estas observaciones proceden del índice de paquetes, no de una instalación probada. Una fecha reciente en una rama EOL no demuestra un backport. Identifica sistema y arquitectura; no cambies de repositorio solo porque otra arquitectura tenga un paquete nuevo.
sury · bookworm · amd64
Verificado: 2026-10-21T23:22:25.550779+00:00 · Índice de paquetes ↗
| Paquete | Revisión publicada |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian12~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian12~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian12~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian12~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian12~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian12~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian12~1.gbp1a3e8a |
sury · bookworm · arm64
Verificado: 2026-10-22T03:23:57.653599+00:00 · Índice de paquetes ↗
| Paquete | Revisión publicada |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian12~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian12~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian12~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian12~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian12~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian12~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian12~1.gbpbcb504 |
sury · trixie · amd64
Verificado: 2026-10-21T23:22:25.551187+00:00 · Índice de paquetes ↗
| Paquete | Revisión publicada |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian13~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian13~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian13~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian13~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian13~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian13~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian13~1.gbp1a3e8a |
sury · trixie · arm64
Verificado: 2026-10-22T03:23:57.653963+00:00 · Índice de paquetes ↗
| Paquete | Revisión publicada |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian13~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian13~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian13~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian13~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian13~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian13~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian13~1.gbpbcb504 |
Vulnerabilidad PHP: si no puedes actualizar todavía
La mitigación no corrige por completo esta Vulnerabilidad PHP. Desactivar el progreso de carga de sesiones solo reduce las rutas confirmadas de CVE-2026-109619; no corrige CVE-2026-109618 ni descarta otras rutas de estado residual.
session.upload_progress.enabled = OffAplica el ajuste en la configuración del runtime web antes de analizar las solicitudes y reinicia todos los procesos. No dependas de ini_set() ni de .user.ini de FPM. Se desactiva la función de progreso de carga de sesiones de PHP.
cleanup, strict_mode, only_cookies y HttpOnly son ajustes de sesión, no pruebas de corrección de estas CVE. El aviso también trata límites de petición, memoria y trazas de error; quitar el límite de memoria puede agotar recursos. Revisa las condiciones y el impacto operativo antes de cambiar otros ajustes.
Verificado: 2026-10-21 23:25:00 UTC
Comprobaciones tras corregir esta Vulnerabilidad PHP
Prueba peticiones críticas, acceso, cargas, registros, tareas y procesos en segundo plano. Reinicia todos los procesos PHP web y comprueba cada sitio. Guarda el repositorio y la revisión completa; planifica la migración de ramas EOL.
Comprobar versión →Preguntas frecuentes
¿Por qué parece antigua la versión tras corregir la vulnerabilidad PHP?
Los proveedores suelen adaptar el parche a una rama anterior sin cambiar el número corto. Compara la revisión completa y el repositorio con el aviso y verifica el runtime web.
¿Actualizar el PHP de terminal actualiza el sitio?
No siempre. La terminal, PHP-FPM y el panel pueden usar binarios distintos. Después de corregir la vulnerabilidad PHP, verifica el runtime asignado a cada dominio.
¿Debo reiniciar los procesos PHP?
Sí. Sigue el procedimiento del proveedor para FPM, Apache y procesos de larga duración. Instalar un paquete no demuestra que todos los procesos hayan cargado la nueva versión.