PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos errores críticos de RCE sin autenticación, CVE-2026-109618 y CVE-2026-109619, conocidos como «php2shell». Actualizar es la parte fácil. Lo difícil es saber que cada PHP del equipo está corregido: backports de la distribución que conservan números de versión antiguos, PHP de paneles, pools de FPM, mod_php que un reload no reinició, imágenes de Docker y binarios de Octane. Este kit responde a eso en una sola ejecución y luego te guía en el resto.

QUÉ INCLUYE

- php2shell-audit.sh (Linux, solo lectura):

- Encuentra PHP de apt/dnf/apk, ondrej/sury, Remi, cPanel ea-php, CloudLinux alt-php, Plesk, DirectAdmin, aaPanel, LiteSpeed lsphp y Homebrew, además de cada proceso en ejecución.

- Clasifica cada compilación como FIXED, PATCHED (backport del proveedor, comprobado en el changelog del paquete o en las tablas de versiones corregidas de Ubuntu/Debian), VULNERABLE, EOL o CHECK-VENDOR.

- Señala mod_php, upload_progress / fatal_error_backtraces todavía activados, sobrescrituras de PHP_VALUE y php_value por solicitud, mal uso de RLIMIT, procesos que siguen ejecutando el PHP antiguo eliminado tras la actualización, shells iniciadas por workers de PHP y contenedores Docker de PHP.

- Códigos de salida 0/1/2 para cron y monitorización.

- php2shell-audit.ps1 (Windows/IIS, solo lectura): comprueba PATH, carpetas de XAMPP/WAMP/Laragon/Plesk, aplicaciones FastCGI de IIS desde applicationHost.config, Apache mod_php, ajustes y procesos hijo sospechosos.

- Guías de actualización, cada una de la propia página del proveedor y con enlaces:

- Ubuntu/Debian (incl. PPA y sury), RHEL/AlmaLinux (tabla de paquetes parcheados), Rocky, Remi, Amazon Linux 2023 / Beanstalk / Lightsail, Alpine, Docker

- cPanel EA4, CloudLinux ea-php/alt-php, Plesk (incl. el truco de la fecha de compilación para compilaciones EOL), DirectAdmin, aaPanel, CloudPanel

- LiteSpeed, FrankenPHP/Octane, Windows/IIS

- Además, una tabla de reinicios (por qué apache graceful no basta).

- Mitigaciones provisionales, citadas de php.net/GHSA y etiquetadas como PARTIAL:

- archivos drop-in para php.ini, pool de FPM, Apache, nginx (bloqueo, lista de permitidos, solo lectura), Caddy/FrankenPHP y lighttpd

- la regla de AWS WAF (JSON literal) y notas sobre Cloudflare

- una regla de ModSecurity (derivada y probada en laboratorio) y una regla de IIS (derivada, sin probar)

- una lista de las medidas que NO ayudaron

- Una lista de verificación posterior al parche, pistas de detección (grep de logs, auditoría de procesos) y primeros pasos ante un incidente

- Un plan de migración para PHP 8.1 y anteriores (y 8.2, EOL el 31 dic 2026), incluido mod_php → PHP-FPM

- Una tabla de reversión, una lista de fuentes y breves guías de inicio rápido en ES/PT/ID/JA

PROBADO

- En Debian 13: la auditoría detectó la 8.4.24 vulnerable, la 8.4.27 corregida y procesos obsoletos antes del reinicio.

- 41 pruebas unitarias, shellcheck sin avisos.

- Los fragmentos de nginx, Apache, ModSecurity y FPM se probaron en laboratorio con solicitudes inofensivas (resultados en tests/LAB-RESULTS.md).

NOTAS

- Sin código de exploit, sin PoC, sin escáner de red. Los scripts solo leen el equipo en el que se ejecutan. Úsalos únicamente en sistemas que poseas o administres.

- Estado a 21 oct 2026. El estado de los paquetes de los proveedores cambia rápido y los puntos inciertos están marcados con [UNCERTAIN].

- Las medidas provisionales son parciales. Solo una compilación de PHP corregida más un reinicio es una solución completa.

- Un kit independiente, sin afiliación con el proyecto PHP, The PHP Foundation, CISA ni ningún proveedor mencionado. Informativo, se ofrece tal cual, úsalo bajo tu propia responsabilidad.