ncsc-nl/php2shellRepositorio de avisos operativos que rastrea las vulnerabilidades RCE de PHP CVE-2026-109618 y CVE-2026-109619, con orientación para la detección y mitigación, inventarios de software afectado y actualizaciones del estado de los proveedores.
Información operativa, último cambio significativo: 21 de octubre de 2026 17:25 CEST Lista de software, última actualización de estado: 22 de octubre de 2026 17:23 CEST TLP:CLEAR
Este repositorio contiene información operativa sobre las vulnerabilidades críticas de PHP registradas por CERT-EU como CVE-2026-109618 y CVE-2026-109619.
PHP es un lenguaje de scripting del lado del servidor de código abierto ampliamente utilizado, por lo que estas vulnerabilidades pueden afectar a una amplia gama de aplicaciones web y productos expuestos a internet que incorporan PHP o dependen de él.
El 21 de octubre de 2026, PHP publicó versiones corregidas para CVE-2026-109618 y CVE-2026-109619: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP indica que ambas vulnerabilidades pueden permitir la ejecución remota de código sin autenticación y que todas las instalaciones de PHP que atienden solicitudes web están en riesgo, incluidos PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP considera que el riesgo es mayor para mod_php, donde una solicitud no autenticada puede desencadenar la explotación antes de que se ejecute el código de la aplicación.
PHP describe CVE-2026-109618 como ejecución remota de código mediante corrupción por agotamiento de memoria durante la limpieza de la solicitud, y CVE-2026-109619 como ejecución remota de código mediante estado global obsoleto propiedad de la solicitud reutilizado por una solicitud posterior en el mismo worker. El proyecto PHP ya no da soporte a PHP 8.1 y versiones anteriores; las distribuciones y los proveedores de LTS pueden proporcionar paquetes con backports, y PHP ha publicado backports mínimos del código fuente para PHP 7.4, 8.0 y 8.1.
El impacto no se limita a los sitios web: PHP también está integrado en appliances, dispositivos de red, interfaces de gestión y otros productos de proveedores en los que los administradores pueden no ser capaces de actualizar PHP directamente.
session.upload_progress, el reinicio de los workers y la revisión de las indicaciones oficiales sobre memory_limit, post_max_size y fatal_error_backtraces de PHP 8.5. PHP indica que estas medidas no son correcciones completas.Para obtener información adicional, consulte:
| Directorio | Propósito |
|---|---|
| detection_mitigation | Contiene material de detección y mitigación para las vulnerabilidades. |
| software | Contiene listas de inventario de productos de software con una dependencia de PHP potencialmente afectada por las vulnerabilidades. |
| tools | Contiene herramientas para usar/generar archivos dentro de este repositorio |
Tenga en cuenta que este repositorio no está completo y actualmente se está ampliando.
| Fecha y hora | Proveedor | Producto | Versión (ver Estado) | Estado CVE-2026-109618 | Estado CVE-2026-109619 | Notas | Enlaces |
|---|---|---|---|---|---|---|---|
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiADC Manager | Investigación | Investigación | Evaluación de CVE: Fortinet PSIRT FG-IR-26-186 indica que el producto está en investigación; las versiones afectadas/corregidas aún no se han publicado El aviso de Fortinet PSIRT FG-IR-26-186 indica que FortiADC Manager está en investigación por CVE-2026-109618 y CVE-2026-109619. | fuente | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiClient Cloud Services | Investigación | Investigación | Evaluación de CVE: Fortinet PSIRT FG-IR-26-186 indica que el producto está en investigación; las versiones afectadas/corregidas aún no se han publicado El aviso de Fortinet PSIRT FG-IR-26-186 indica que FortiClient Cloud Services está en investigación por CVE-2026-109618 y CVE-2026-109619. | fuente | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS | Investigación | Investigación | Evaluación de CVE: Fortinet PSIRT FG-IR-26-186 indica que el producto está en investigación; las versiones afectadas/corregidas aún no se han publicado El aviso de Fortinet PSIRT FG-IR-26-186 indica que FortiDDoS está en investigación por CVE-2026-109618 y CVE-2026-109619. | fuente | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS-F | Investigación | Investigación | Evaluación de CVE: Fortinet PSIRT FG-IR-26-186 indica que el producto está en investigación; las versiones afectadas/corregidas aún no se han publicado El aviso de Fortinet PSIRT FG-IR-26-186 indica que FortiDDoS-F está en investigación por CVE-2026-109618 y CVE-2026-109619. | fuente | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiEndpoint | Investigación | Investigación | Evaluación de CVE: Fortinet PSIRT FG-IR-26-186 indica que el producto está en investigación; las versiones afectadas/corregidas aún no se han publicado El aviso de Fortinet PSIRT FG-IR-26-186 indica que FortiEndpoint está en investigación por CVE-2026-109618 y CVE-2026-109619. | fuente |
Consulte el historial completo de actualizaciones del estado del software.
Si tiene información adicional que compartir relacionada con estas vulnerabilidades de PHP, no dude en abrir una Pull request. ¿Es nuevo en esto? Lea cómo contribuir en la documentación de GitHub.
Para actualizaciones de la lista de software: nuestra firme preferencia es recibir las ediciones en los archivos fuente SPDX en software/spdx/. Las páginas de lista en Markdown se generan automáticamente a partir de esos archivos. En caso de que esto resulte demasiado difícil: no se preocupe. Intentaremos trasladar las ediciones de los archivos .md a los archivos fuente SPDX, pero sin ninguna garantía.