Los clientes con el WAF de Transparent Edge ya están protegidos frente a PHP2Shell, sin activar nada. Aun así, el parche de PHP es la única solución completa. Te explico qué ha pasado, qué hemos hecho y qué tienes que hacer tú.
El 20 de octubre se filtraron antes de tiempo los detalles de dos vulnerabilidades críticas en el núcleo de PHP. El equipo de seguridad de PHP adelantó su publicación y hoy se han lanzado las versiones corregidas.
Qué son CVE-2026-109618 y CVE-2026-109619
Son dos fallos de gestión de memoria en el intérprete de PHP, conocidos como PHP2Shell. El equipo de seguridad de PHP les asigna una puntuación CVSS v4 de 9.2 a cada uno.
Ambos aparecen cuando una petición HTTP termina de forma anormal y PHP deja la memoria en un estado inconsistente:
| CVE | Qué falla | Impacto |
| CVE-2026-109618 | PHP se queda sin memoria antes de inicializar ciertos datos y, al limpiar, los usa como si fueran válidos | Ejecución remota de código |
| CVE-2026-109619 | Un error fatal deja referencias a memoria ya liberada que una petición posterior puede reutilizar | Exposición de memoria y ejecución remota de código |
El atacante no necesita autenticarse: le basta con enviar peticiones HTTP manipuladas. Como el fallo está en PHP y no en la aplicación, actualizar el CMS o los plugins no lo corrige.
A quién afecta
A cualquier servidor con PHP 5.4 o posterior expuesto a internet, con independencia de la aplicación que ejecute: WordPress, WooCommerce, Drupal, Joomla, Magento, Laravel o desarrollos propios.
Afecta a todas las formas de servir PHP: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto está en Apache con mod_php, donde la explotación completa está demostrada con la configuración por defecto.
Solo las ramas mantenidas reciben parche oficial (8.2, 8.3, 8.4 y 8.5. PHP 8.1 ) y anteriores no tendrán corrección del proyecto.
Cómo protege el WAF de Transparent Edge
Desde primera hora, antes incluso de que se publicaran los detalles técnicos, desplegamos en el WAF reglas de virtual patching específicas para PHP2Shell. Un virtual patch bloquea en el edge las peticiones que intentan explotar una vulnerabilidad, antes de que lleguen a tu servidor.
Cuando PHP publicó el parche, seguimos tres pasos:
- Analizamos los cambios del código para identificar los vectores de ataque reales.
- Comprobamos en laboratorio que las peticiones maliciosas se bloquean antes de llegar al origen.
- Ajustamos las reglas para que el tráfico legítimo siga pasando con normalidad.
Si tienes el WAF contratado, ya estás protegido y no tienes que hacer nada para activar estas reglas. Seguimos monitorizando el tráfico y las actualizaremos si aparecen variantes.
Qué tienes que hacer
El WAF te protege mientras actualizas, pero no sustituye al parche.
- Actualiza PHP a 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Después, reinicia todos los procesos de PHP (PHP-FPM o Apache). Instalar la versión nueva sin reiniciar deja el código vulnerable en ejecución.
- Si usas PHP 7.4, 8.1 o anterior, no habrá parche oficial. Consulta si tu proveedor o tu distribución publican una versión corregida, o planifica la migración a una versión mantenida.
- Asegura que tu origen solo acepta tráfico de nuestra red. Una petición que llega directamente a la IP de tu servidor, sin pasar por la CDN, no tiene la protección del WAF.
- Después de parchear, revisa si hay webshells, usuarios administradores nuevos o ficheros PHP modificados.
Si no tienes el WAF contratado, la única protección es actualizar cuanto antes. Si quieres activarlo, escríbenos y te ayudamos.
Posibles efectos en tu web
Para reducir el riesgo al máximo, algunas reglas son estrictas con funciones de PHP que la propia vulnerabilidad aprovecha, como las barras de progreso de subida de ficheros basadas en la sesión de PHP.
Si notas algún problema con formularios o subidas de archivos, escríbenos y lo revisamos contigo. Cuando nos confirmes que has actualizado PHP, podemos ajustar las reglas para tu servicio.
Para cualquier duda, nuestro equipo de soporte está disponible en los canales habituales.
