¿Qué entornos deben comprobarse?
El aviso de PHP cubre instalaciones que atienden peticiones web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es especialmente alto con mod_php. Un framework, panel o el uso de FPM no demuestra ausencia de impacto.
Versión corregida del proyecto
PHP 8.5.12, publicado el 2026-10-21, es una versión estable que corrige esta PHP2Shell, PHP2Shell. La rama conserva su calendario de soporte. Guía de plataforma →
PHP 8.4.27, publicado el 2026-10-21, es una versión estable que corrige esta PHP2Shell, PHP2Shell. La rama conserva su calendario de soporte. Guía de plataforma →
PHP 8.3.36, publicado el 2026-10-21, es una versión estable que corrige esta PHP2Shell, PHP2Shell. La rama conserva su calendario de soporte. Guía de plataforma →
PHP 8.2.35, publicado el 2026-10-21, es una versión estable que corrige esta PHP2Shell, PHP2Shell. La rama conserva su calendario de soporte. Guía de plataforma →
Vulnerabilidad PHP: backports para ramas antiguas
PHP ya no publica versiones de seguridad regulares para ramas EOL. Los backports del proveedor requieren un aviso y una revisión propios. Planifica una rama con soporte y prueba aplicaciones y extensiones.
Estado de correcciones →Vulnerabilidad PHP: si no puedes actualizar todavía
La mitigación no corrige por completo esta Vulnerabilidad PHP. Desactivar el progreso de carga de sesiones solo reduce las rutas confirmadas de CVE-2026-109619; no corrige CVE-2026-109618 ni descarta otras rutas de estado residual.
session.upload_progress.enabled = OffAplica el ajuste en la configuración del runtime web antes de analizar las solicitudes y reinicia todos los procesos. No dependas de ini_set() ni de .user.ini de FPM. Se desactiva la función de progreso de carga de sesiones de PHP.
cleanup, strict_mode, only_cookies y HttpOnly son ajustes de sesión, no pruebas de corrección de estas CVE. El aviso también trata límites de petición, memoria y trazas de error; quitar el límite de memoria puede agotar recursos. Revisa las condiciones y el impacto operativo antes de cambiar otros ajustes.
Verificado: 2026-10-21 23:25:00 UTC
Verificar
Prueba peticiones críticas, acceso, cargas, registros, tareas y procesos en segundo plano. Reinicia todos los procesos PHP web y comprueba cada sitio. Guarda el repositorio y la revisión completa; planifica la migración de ramas EOL.
Comprobar versión →