Guarda una copia de la aplicación, configuración y datos y prueba en staging. Para corregir esta Vulnerabilidad PHP, usa el repositorio y la rama instalados.
Vulnerabilidad PHP: estado de paquetes del proveedor
| Rama / Proveedor | Paquete corregido | PHP2Shell · Estado |
|---|---|---|
| PHP 8.5 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 8.4 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 8.3 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 8.2 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 8.1 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 8.0 rhel | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:28:58 UTC |
| PHP 7.4 rhel · 8 (php:7.4 module) | 7.4.33-8.module+el8.10.0+25117+30337cca Fuente del proveedor ↗ | Corrección adaptada confirmada Verificado: 2026-10-22 03:29:00 UTC |
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | Revisiones por sistemaRocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm Fuente del proveedor ↗ | Corrección adaptada confirmada Verificado: 2026-10-22 04:44:41 UTC |
Una corrección confirmada indica publicación por el proveedor, no que tu servidor esté actualizado. Un estado sin confirmar carece de una revisión verificada para esa combinación.
Vulnerabilidad PHP: otras familias de paquetes
Estas familias tienen calendarios independientes. Identifica el repositorio; la corrección de una familia no demuestra la de otra.
| Rama / Proveedor | Paquete corregido | PHP2Shell · Estado |
|---|---|---|
| PHP 8.5 remi | Revisiones por sistemaEL 8 · SCL php85 EL 8 · module php:8.5 EL 9 · SCL php85 EL 9 · module php:8.5 EL 10 · SCL php85 EL 10 · module php:8.5 Fuente del proveedor ↗ | Corrección confirmada Verificado: 2026-10-22 03:29:00 UTC |
| PHP 8.4 remi | Revisiones por sistemaEL 8 · SCL php84 EL 8 · module php:8.4 EL 9 · SCL php84 EL 9 · module php:8.4 EL 10 · SCL php84 EL 10 · module php:8.4 Fuente del proveedor ↗ | Corrección confirmada Verificado: 2026-10-22 03:29:00 UTC |
| PHP 8.3 remi | Revisiones por sistemaEL 8 · SCL php83 EL 8 · module php:8.3 EL 9 · SCL php83 EL 9 · module php:8.3 EL 10 · SCL php83 EL 10 · module php:8.3 Fuente del proveedor ↗ | Corrección confirmada Verificado: 2026-10-22 03:29:00 UTC |
| PHP 8.2 remi | Revisiones por sistemaEL 8 · SCL php82 EL 8 · module php:8.2 EL 9 · SCL php82 EL 9 · module php:8.2 EL 10 · SCL php82 EL 10 · module php:8.2 Fuente del proveedor ↗ | Corrección confirmada Verificado: 2026-10-22 03:29:00 UTC |
| PHP 8.1 remi | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:29:00 UTC |
| PHP 8.0 remi | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:29:00 UTC |
| PHP 7.4 remi | Paquete corregido — Fuente del proveedor ↗ | Estado no confirmado: consulta al proveedor Verificado: 2026-10-22 03:29:00 UTC |
Los metadatos estables de Remi confirman CLI, common y FPM de SCL y modular para EL 8/9/10 en x86_64 y aarch64. Expande las revisiones antes de elegir. Otras extensiones, sistemas y comandos de instalación no se han probado.
No se encontró un backport Remi confirmado para esta rama EOL. Un paquete nuevo de otra rama con soporte no confirma la corrección de esta.
Identifica la fuente de la corrección de esta Vulnerabilidad PHP
Los paquetes del sistema, repositorios externos, imágenes y PHP del panel pueden ser instalaciones distintas. Comprueba sistema, arquitectura, repositorio y runtime del dominio: el mismo número corto puede tener parches distintos.
Una subida de código, una fecha prevista o una etiqueta RC no demuestra que se haya publicado la corrección de esta Vulnerabilidad PHP.
PHP 8.5: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 8.4: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 8.3: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 8.2: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 8.1: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 8.0: actualizar, reiniciar y verificar
rhel
No se confirmó un paquete RHSA exacto para esta rama. El backport de RHEL 8 php:7.4 indicado abajo tiene otro alcance. Identifica producto y flujo modular; AlmaLinux y Rocky Linux requieren sus propios avisos.
Verificado: 2026-10-22 03:28:58 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗PHP 7.4: actualizar, reiniciar y verificar
rhel · 8 (php:7.4 module)
RHSA-2026:87080 y CSAF confirman ambas CVE en RHEL 8 php:7.4 para x86_64, aarch64, ppc64le y s390x. No confirma AlmaLinux, Rocky Linux ni otros flujos. Instalación sin probar; el comprobador exige comparar manualmente el aviso RPM.
Verificado: 2026-10-22 03:29:00 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗rocky-linux · Rocky Linux 8 · php:7.4
Rocky Linux 8 AppStream publica la corrección adaptada de la vulnerabilidad PHP para php:7.4 en RLSA-2026:87080, que cubre ambos CVE. Descargamos los RPM CLI, common y FPM de x86_64 y aarch64 y comprobamos sus sumas con los metadatos oficiales del paquete y del aviso. Despliega las revisiones completas; esto no confirma otras ramas, versiones del sistema ni AlmaLinux. No probamos instalación ni reinicios; el comprobador no compara automáticamente estas revisiones RPM.
Verificado: 2026-10-22 04:44:41 UTC · Fuente del proveedor ↗
Actualizar → Reiniciar → Verificar
Este entorno no se ha probado; no publicamos comandos ejecutables de actualización. Haz una copia y prueba, actualiza según el proveedor, reinicia PHP y verifica la revisión completa.
Abrir instrucciones del proveedor ↗Vulnerabilidad PHP: si no puedes actualizar todavía
La mitigación no corrige por completo esta Vulnerabilidad PHP. Desactivar el progreso de carga de sesiones solo reduce las rutas confirmadas de CVE-2026-109619; no corrige CVE-2026-109618 ni descarta otras rutas de estado residual.
session.upload_progress.enabled = OffAplica el ajuste en la configuración del runtime web antes de analizar las solicitudes y reinicia todos los procesos. No dependas de ini_set() ni de .user.ini de FPM. Se desactiva la función de progreso de carga de sesiones de PHP.
cleanup, strict_mode, only_cookies y HttpOnly son ajustes de sesión, no pruebas de corrección de estas CVE. El aviso también trata límites de petición, memoria y trazas de error; quitar el límite de memoria puede agotar recursos. Revisa las condiciones y el impacto operativo antes de cambiar otros ajustes.
Verificado: 2026-10-21 23:25:00 UTC
Comprobaciones tras corregir esta Vulnerabilidad PHP
Prueba peticiones críticas, acceso, cargas, registros, tareas y procesos en segundo plano. Reinicia todos los procesos PHP web y comprueba cada sitio. Guarda el repositorio y la revisión completa; planifica la migración de ramas EOL.
Comprobar versión →Preguntas frecuentes
¿Por qué parece antigua la versión tras corregir la vulnerabilidad PHP?
Los proveedores suelen adaptar el parche a una rama anterior sin cambiar el número corto. Compara la revisión completa y el repositorio con el aviso y verifica el runtime web.
¿Actualizar el PHP de terminal actualiza el sitio?
No siempre. La terminal, PHP-FPM y el panel pueden usar binarios distintos. Después de corregir la vulnerabilidad PHP, verifica el runtime asignado a cada dominio.
¿Debo reiniciar los procesos PHP?
Sí. Sigue el procedimiento del proveedor para FPM, Apache y procesos de larga duración. Instalar un paquete no demuestra que todos los procesos hayan cargado la nueva versión.