CISA incorporó CVE-2026-109618 y CVE-2026-109619, las dos vulnerabilidades conocidas como PHP2Shell, a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 26 de octubre de 2026. La alerta pide inventariar PHP en toda la organización, dar prioridad a los sistemas expuestos a internet y vigilar la actividad de sus procesos. Si un sistema afectado no puede actualizarse de inmediato o utiliza PHP 8.1 o anterior sin soporte, CISA recomienda dejarlo fuera de servicio.
Qué implica la incorporación de PHP2Shell a KEV
La inclusión de los dos CVE en KEV sitúa PHP2Shell en el catálogo de CISA para vulnerabilidades con explotación conocida. La medida llegó después de que el Proyecto PHP publicara correcciones el 21 de octubre: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El Proyecto PHP describe ambas fallas como capaces de permitir ejecución remota de código sin autenticación en instalaciones que atienden solicitudes web.
El aviso del Proyecto PHP identifica como afectadas instalaciones con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP señala que mod_php es la configuración de mayor riesgo. Para contextualizar las versiones corregidas, NeoTeo publicó un artículo sobre los parches de PHP para ambos fallos.
CISA actualizó su alerta el 23 de octubre para añadir una regla de detección Sigma y reforzar las medidas de mitigación. Dos días después, agregó ambos CVE a KEV y revisó de nuevo el aviso.
Qué deben inventariar y vigilar los operadores
CISA recomienda localizar PHP en toda la organización, también cuando está integrado en otros programas, y priorizar los sistemas accesibles desde internet. Esa búsqueda puede abarcar más que los servidores web identificados a simple vista: el runtime puede formar parte de otros productos y servicios.
La alerta pide vigilar si los procesos de PHP inician shells, es decir, intérpretes de comandos, o descargan herramientas. Si un sistema afectado no puede actualizarse de inmediato, CISA recomienda desconectarlo; también aconseja hacerlo si ejecuta PHP 8.1 o anterior sin soporte. El proyecto PHP ya no publica actualizaciones para PHP 8.1 y ramas anteriores, aunque proporcionó backports mínimos del código fuente para PHP 7.4, 8.0 y 8.1. Las distribuciones y los proveedores con soporte de larga duración pueden ofrecer sus propios paquetes corregidos.
Un cortafuegos de aplicaciones web (WAF) puede proporcionar cierta protección mientras se prepara una actualización, según CISA. PHP advierte que las medidas provisionales solo reducen la exposición a rutas concretas: actualizar el runtime es la solución completa.
Instalar la corrección atiende la vulnerabilidad en adelante, pero no determina si hubo una intrusión anterior. Por eso CISA recomienda vigilar actividad sospechosa además de actualizar. La corrección corresponde a quien administra el PHP del servidor o al proveedor de alojamiento, no a quienes visitan una página web.
Qué miden las cifras de Wiz
Wiz comunicó descensos en su telemetría sobre sistemas y organizaciones expuestos a PHP2Shell. Cada cifra cuenta una población distinta, por lo que no debe leerse como un único recuento de servidores corregidos.
| Métrica | Variación comunicada | Qué cuenta y periodo |
| Máquinas vulnerables expuestas a internet | Descenso aproximado del 67 % | Número diario de máquinas distintas observadas después de la divulgación pública. |
| Organizaciones con al menos una instancia vulnerable expuesta | Descenso aproximado del 47,9 % | Organizaciones observadas con una o más instancias expuestas y vulnerables. |
| Máquinas expuestas y vulnerables que ejecutaban PHP 7.3 o anterior | Del 8,3 % al 5,7 % | Proporción de esa población observada durante cinco días. |
Wiz advierte que la cobertura de sus escaneos y los cambios en la población observada pueden afectar a estas tendencias. Sus datos tampoco permiten separar cuánto contribuyeron los parches, las actualizaciones, la retirada de máquinas o las restricciones de acceso a internet.
Sobre la explotación, Wiz dijo que sus propios intentos capturados no completaron una cadena de ataque. Por separado, citó una ejecución exitosa observada en un honeypot con Apache mod_php configurado con un solo proceso trabajador. Ese resultado corresponde a una configuración concreta; no describe por sí solo el comportamiento de otros despliegues.
