PHP2Shell: ¿Su sitio web está afectado y qué debe preguntarle a su anfitrión?

Si posee un sitio web, la pregunta útil sobre PHP2Shell es: ¿quién puede confirmar que el tiempo de ejecución de PHP que atiende a sus visitantes ha sido reparado? Esta guía le brinda una forma de realizar preguntas, incluso cuando otra persona administra el servidor. Hechos comprobados 30 de octubre de 2026.

Una vulnerabilidad crítica no es prueba de una violación de datos

El Centro Cibernético Canadiense Actualización del 27 de octubre para alertar AL26-026 informa explotación en estado salvaje de CVE-2026-109618 y CVE-2026-109619, conocido como PHP2Shell. Estas fallas pueden permitir la ejecución de código sin iniciar sesión.

Eso hace que sea urgente comprobar la exposición. No establece que su sitio web en particular haya sido atacado o que los datos de sus clientes hayan sido robados. Mantenga esas preguntas separadas en las conversaciones con su proveedor y sus clientes.

Comience con el servicio, no con la página de inicio

Enumere su sitio web principal, tienda, portal de clientes y herramientas de administración. Para cada uno, registre la persona o empresa responsable de su hosting. Pregunte si PHP procesa sus solicitudes web. Una página de inicio atractiva, un candado que funcione o un panel de control CMS actualizado no responden a esa pregunta.

Solicite una respuesta que cubra el servicio de producción por su nombre. Una captura de pantalla de un servidor no relacionado o una instalación de PHP desde la línea de comandos no es la confirmación que solicitó. Si un proveedor gestiona varios entornos, solicite un estado independiente para producción, puesta en escena y cualquier servicio de administración de acceso público.

¿Qué versiones de PHP contienen las correcciones iniciales?

El Aviso PHP del 21 de octubre enumera estas versiones ascendentes para las dos vulnerabilidades iniciales:

Una distribución puede incluir una solución en un paquete con una versión base anterior. Aviso de paquetes de Ubuntu ilustra esto y explica que es posible que sea necesario reiniciar las aplicaciones para cargar componentes actualizados. Solicite el paquete y el aviso exactos del proveedor, además de la confirmación de que el servicio en ejecución lo utiliza.

También hay un seguimiento separado. PHP Aviso de carga de sesión del 23 de octubre cubre CVE-2026-115560, que las versiones del 21 de octubre no solucionan. Se trata de una combinación inusual de cambios en la configuración y el serializador de tiempo de ejecución. Pídale a su administrador que evalúe ese aviso y su mitigación del progreso de carga; La tabla anterior no indica que todo esté completamente limpio.

Solicite una respuesta que pueda rastrear

• ¿Qué servicios nombrados en mi cuenta usan PHP y quién mantiene cada uno?
• ¿Qué paquete o versión instalada repara los dos CVE iniciales? ¿Qué aviso del proveedor lo confirma?
• ¿Cuándo empezó el servicio de producción a utilizar el tiempo de ejecución parcheado?
• ¿Se ha evaluado el aviso separado del 23 de octubre y qué acción fue necesaria?
• Si queda algo abierto, ¿a quién pertenece la acción y cuándo me informarán?

Mantenga el número de ticket, la fecha y la respuesta en su registro de mantenimiento. “Las actualizaciones de seguridad son automáticas” es el punto de partida de la conversación; pregunte por el estado de su servicio actual.

Un mensaje corto para adaptar a tu anfitrión.

Hola, confirma el estado de PHP2Shell de [dominio/servicio]. ¿Su tiempo de ejecución web de producción tiene correcciones para CVE-2026-109618 y CVE-2026-109619? Proporcione el paquete/versión instalado, el aviso del proveedor y la fecha en que se actualizó el servicio en ejecución. Confirme también su evaluación del aviso del 23 de octubre para CVE-2026-115560. Si queda alguna acción pendiente, ¿quién es el responsable y cuándo deberíamos esperar la próxima actualización? Gracias.

Envíe esto a través de su portal de soporte de hosting existente. Para una llamada inesperada de “parche urgente”, utilice los pasos de verificación en nuestro guía de soporte de TI falsa antes de seguir instrucciones o compartir el acceso.

¿Qué pasa si sospecha de un compromiso?

Comuníquese con su anfitrión y con el líder de respuesta a incidentes de inmediato. El Centro Cibernético guía de respuesta a incidentes separa detección, contención, erradicación y recuperación. Coordine las decisiones de preservación y recuperación de evidencia con ese equipo en lugar de eliminar primero los archivos sospechosos.

Cambiar una contraseña no parchea PHP. Asimismo, la instalación de un parche no demuestra que se haya eliminado una intrusión anterior. Pídale al respondedor que documente tanto la corrección del software como el resultado de la investigación, incluyendo qué credenciales o sesiones necesitan ser reemplazadas y cuándo. Cierra tu ticket de seguimiento solo cuando las acciones restantes tengan propietarios nombrados.