PHP publica parches de urgencia para dos fallos críticos con explotación activa
PHP ha publicado actualizaciones de emergencia para corregir dos vulnerabilidades críticas agrupadas como PHP2Shell, identificadas como CVE-2026-109618 y CVE-2026-109619. Según la noticia, ambos fallos permiten ejecución remota de código sin autenticación y ya se han observado intentos de explotación activa.
El impacto afecta al propio intérprete en varias formas de despliegue, entre ellas PHP-FPM, php-cgi, FrankenPHP, LiteSpeed y especialmente Apache mod_php. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; PHP 8.1 o anterior no tiene parche. Tras actualizar, conviene reiniciar los servicios para que carguen el runtime corregido.
Qué significa para tu web
Si tu web usa alguna versión vulnerable de PHP, actualiza cuanto antes a una de las versiones corregidas y reinicia Apache, PHP-FPM o los procesos persistentes. Si no puedes parchear de inmediato, aplica medidas de contención y revisa si observas peticiones anómalas, errores 500 o reinicios extraños.
Fuente: Hispasec · También lo cuentan: PHP en GitHub (avisos de seguridad), PHP en GitHub (avisos de seguridad), php.net, php.net, poresto.com, inc42.com, BleepingComputer, SecurityWeek