PHP2Shell es un conjunto de dos vulnerabilidades críticas de ejecución remota de código (RCE) en PHP, CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación de 9,2 según el CVSS v4.0, y cualquiera de ellas puede permitir que un atacante no autenticado ejecute código en un servidor que gestione solicitudes PHP. Cloudflare informa de que ya se han producido los primeros ataques.
PHP publicó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y versiones anteriores han dejado de recibir soporte y no recibirán ninguna versión oficial. Aikido publica imágenes de contenedores PHP parcheadas de forma gratuita para todas las líneas de versiones desde la 5.5 hasta la 8.5, excepto la 8.0, con las correcciones de PHP2Shell adaptadas a la versión que ya estás utilizando.
Si aún no has aplicado el parche para PHP2Shell, hazlo ahora mismo. Si utilizas PHP 8.2 o una versión posterior, actualiza a la 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y sigue los pasos que se indican en nuestra entrada sobre PHP2Shell. Las imágenes de Aikido cubren la mayoría de las versiones antiguas que PHP ya no actualiza, por lo que puedes aplicarles el parche sin necesidad de actualizar primero a una rama compatible.
¿Por qué utilizar Aikido Images para PHP2Shell?
Migrar una aplicación entre versiones principales de PHP lleva tiempo, y una aplicación heredada que funcione con PHP 5.6 o 7.4 no puede pasar a la 8.2 de la noche a la mañana. Aikido Images te permite mantenerte en tu línea de versiones actual. Cuando el proyecto original no dispone de una solución, adaptamos los parches de PHP2Shell a la versión que utilizas, de modo que la etiqueta conserva su número de versión y no tienes que adaptar primero tu aplicación.
En el caso de las ramas compatibles, las imágenes coinciden con las versiones corregidas de upstream, por lo que la actualización consiste simplemente en cambiar la imagen base en tu Dockerfile.
Imágenes disponibles
Las imágenes de Aikido están disponibles de forma gratuita en el registro público de contenedores de Amazon (ECR) de Aikido, en public.ecr.aws/aikido-dev/php. Busca tu línea de versión a continuación y descarga el último parche de la variante que utilices.
Aikido también publica versiones parcheadas de algunas actualizaciones anteriores, entre ellas la 8.2.34, la 8.3.35, la 8.4.26 y la 8.5.11, para que puedas seguir utilizando exactamente la misma versión que ya tienes instalada. Echa un vistazo a la lista completa de etiquetas en la galería pública de ECR.
Cómo extraer una imagen
Las etiquetas combinan la versión y la variante. Para PHP 8.5 con FPM:
docker pull public.ecr.aws/aikido-dev/php:8.5.12-fpm
La variante básica utiliza la etiqueta de versión sin formato, como php:8.2.35. En un Dockerfile, modifica la línea FROM:
DE public.ecr.aws/aikido-dev/php:7.4.33-apache
Para obtener la última versión parcheada de Alpine sin fijar una versión concreta, utiliza php:alpine o php:fpm-alpine.
Una vez que hayas cambiado de imagen
Aplicar un parche a un contenedor en ejecución deja la imagen expuesta, por lo que debes recompilar todas las imágenes que utilicen PHP y volver a implementarlas. A continuación:
- Reinicia los procesos de PHP-FPM y Apache, o vuelve a implementar los contenedores, y comprueba que ningún proceso siga ejecutando la versión anterior.
- Mantén la opción «session.upload_progress.enabled=0» en el archivo php.ini o en la configuración de tu grupo de PHP-FPM. Se trata de una función heredada que rara vez se utiliza y que constituye una vía confirmada para la vulnerabilidad CVE-2026-109619.
- Comprueba tu URL pública con el verificador gratuito de PHP2Shell de Aikido, que informa del estado de PHP2Shell del sitio.
- Busca indicios de que el sistema haya sido comprometido. En nuestra entrada sobre PHP2Shell se detalla qué hay que comprobar.
Si tu versión aún no aparece en la lista
PHP 8.0 aún no dispone de una imagen de Aikido, y algunas versiones solo cuentan con unas pocas variantes, como la 8.1. Estamos preparando más imágenes. Hasta que la tuya esté disponible, actualiza a una versión fija de PHP o solicita a tu proveedor una corrección adaptada a versiones anteriores. El equipo de seguridad de PHP también ha publicado adaptaciones mínimas del código fuente para las versiones de PHP 7.4 a 8.1, destinadas a los equipos que compilan desde el código fuente.
Para obtener más información sobre las vulnerabilidades CVE y las medidas de mitigación temporales en caso de que aún no puedas actualizar, consulta nuestra entrada sobre PHP2Shell.
Para ver un tutorial sobre cómo comprobar si estás expuesto y cómo aplicar el parche a PHP2Shell, incluso con Aikido Images, mira el vídeo que aparece a continuación.
