Vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619): qué hemos hecho

El 21 de octubre, el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas conocidas como PHP2Shell: CVE-2026-109618 y CVE-2026-109619, las dos con una puntuación de 9,2 sobre 10. Permiten que alguien ejecute código en un servidor con una simple petición a la web, sin usuario ni contraseña, y afectan a prácticamente cualquier instalación de PHP, sea cual sea la aplicación: WordPress, PrestaShop, Laravel o una web hecha a mano.

No tienes que hacer nada: todas las versiones de PHP de nuestros servidores, de la 5.2 a la 8.5, están corregidas desde la madrugada del 22 de octubre.

El 23 de octubre, PHP avisó de una tercera vía, CVE-2026-115560, que todavía no tiene corrección. En nuestros servidores estaba cerrada desde el 21: te lo contamos más abajo.

Si tu web usa PHP 8.2, 8.3, 8.4 u 8.5, verás el mismo número que publicó PHP, por ejemplo 8.5.12. Con una versión anterior verás el de siempre, por ejemplo 7.4.33, y es lo normal: PHP no publica versiones nuevas de esas ramas, y CloudLinux, que mantiene las versiones de PHP que usamos, les incorpora la corrección sin cambiar el número. En la tabla de más abajo tienes la versión corregida de cada rama. Te contamos qué hemos hecho.

Antes de que saliera la corrección

PHP avisó el día anterior de que publicaría la corrección el 21 a las 16:00, hora de España, y los detalles se filtraron antes de tiempo. No esperamos al parche: vigilamos los avisos de seguridad por todas las vías, no solo por las oficiales, y en cuanto empezaron a circular los primeros informes no oficiales:

• Desactivamos en todos los servidores la función de PHP por la que entraba la parte confirmada del ataque: el seguimiento del progreso de las subidas de ficheros en la sesión. Lo hicimos en todas las versiones de PHP que ofrecemos, de la 5.2 a la 8.5, y comprobamos cuenta por cuenta que había quedado desactivada.
• Añadimos reglas propias al cortafuegos web de todos los servidores, que rechazan los intentos conocidos antes de que lleguen a PHP. A ellas se suman las que CloudLinux ha desplegado en Imunify360.

Ninguna de estas medidas cambia nada para tu web. Lo único que deja de funcionar es la barra de progreso de las aplicaciones que la calculaban con esa función de PHP, algo muy poco habitual: la mayoría la calcula en el navegador.

Son medidas que reducen el riesgo, pero no sustituyen a la actualización. Es lo que dice el propio equipo de PHP, y por eso la hemos instalado en cuanto ha estado disponible.

La actualización

Nuestros servidores usan las versiones de PHP que mantiene CloudLinux. Fuimos instalando sus versiones corregidas a medida que las publicaba, y desde la madrugada del 22 de octubre la corrección está aplicada en todos los servidores, en todas las versiones que ofrecemos: de la 5.2 a la 8.5.

De la 8.2 a la 8.5, el número ya es el que publicó PHP con la corrección: 8.5.12, por ejemplo. En las anteriores, CloudLinux incorpora la corrección sin cambiar el número de versión, por eso PHP sigue mostrando el de siempre: 7.4.33, por ejemplo.

En la 8.2, la 8.3, la 8.4 y la 8.5, CloudLinux publicó primero la corrección sin cambiar el número, y es lo que instalamos el 21 y el 22: si esos días viste 8.5.11 en tu web, ya estaba corregida. Después publicó las mismas correcciones con el número de PHP y también las hemos instalado: cambian el número, no la protección, que ya estaba desde el 22. En palabras de CloudLinux: «If you have already installed the fixed packages from our earlier updates (for example alt-php85 8.5.11-5), your servers are already protected against CVE-2026-109618 and CVE-2026-109619. This update only brings the version numbers in line with PHP.net». Es decir: quien tenía ya los paquetes anteriores, como el 8.5.11-5, estaba protegido, y los nuevos solo igualan el número al de PHP. Lo explica en su aviso sobre estas vulnerabilidades.

La actualización no ha necesitado ninguna acción por tu parte ni ha cortado el servicio.

El aviso del 23 de octubre: CVE-2026-115560

El 23 de octubre, el equipo de PHP avisó de otra vía para ejecutar código en el servidor, CVE-2026-115560. Las versiones del 21 no la corrigen: la corrección llegará con la próxima versión de PHP. Es una vía distinta, y lo que corrigen esas versiones, CVE-2026-109618 y CVE-2026-109619, sigue corregido.

Solo se puede aprovechar en una combinación poco habitual: la aplicación cambia por código el formato en que PHP guarda la sesión y, además, está activado el seguimiento del progreso de las subidas de ficheros en la sesión. Mientras llega la corrección, PHP recomienda desactivar esa función, y precisa que quien ya lo hizo con su aviso del 21 no tiene que hacer nada más.

Es nuestro caso: es la misma función que desactivamos el 21 de octubre en todos los servidores y en todas las versiones de PHP, de la 5.2 a la 8.5, y sigue desactivada. Las reglas del cortafuegos web que añadimos ese día rechazan, además, las peticiones que intentan usarla antes de que lleguen a PHP. No tienes que hacer nada. Cuando PHP y CloudLinux publiquen la corrección, la instalaremos igual que esta.

¿Y si mi web usa una versión antigua de PHP?

El proyecto PHP solo corrige las versiones que mantiene: de la 8.2 en adelante. Para la 8.1, la 7.x y la 5.x no publica versiones nuevas. En la mayoría de los alojamientos, una web con PHP 7.4 se queda hoy sin protección.

En Hostsuar no. CloudLinux mantiene parches de seguridad para todas las versiones que ofrecemos, de la 5.2 a la 8.5, y también ha corregido estas dos vulnerabilidades en las antiguas. La corrección ya está instalada en ellas, igual que en las demás: tu web está protegida sin cambiar de versión.

Mantener al día la versión que uses es cosa nuestra, así que no tienes que cambiar de PHP por estas vulnerabilidades. Si algún día quieres pasar a una más reciente, por rendimiento o porque un plugin nuevo lo pide, puedes ver qué versiones hay en Versiones de PHP disponibles y cambiar la de tu web en Cambiar la versión de PHP de una web con comprobación y vuelta atrás: comprobamos que la web sigue respondiendo con la versión nueva y, si no, vuelve a la anterior. Si tu web necesita cambios para funcionar en una versión actual, escríbenos y lo vemos.

Si tienes PHP en otro sitio

Si gestionas tú algún servidor con PHP fuera de Hostsuar, actualízalo a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o instala el paquete corregido de tu distribución, y reinicia PHP. Para CVE-2026-115560, pon además session.upload_progress.enabled = 0 en el php.ini o en la configuración de PHP-FPM antes de reiniciarlo: con ini_set() desde la aplicación no sirve. Si tienes dudas sobre cómo hacerlo, escríbenos.