{"id":854,"date":"2026-10-29T19:53:44","date_gmt":"2026-10-29T18:53:44","guid":{"rendered":"https:\/\/www.cisilino.com\/?p=854"},"modified":"2026-10-29T19:56:20","modified_gmt":"2026-10-29T18:56:20","slug":"php2shell-cve-2026-109618-mitigacion-servidores","status":"publish","type":"post","link":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/","title":{"rendered":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche"},"content":{"rendered":"<p>El 20 de octubre de 2026 se hicieron p\u00fablicos dos fallos graves en el n\u00facleo de PHP. El nombre com\u00fan es <strong>PHP2Shell<\/strong> y los identificadores son CVE-2026-109618 y CVE-2026-109619. La puntuaci\u00f3n CVSS es 9,2. Permiten ejecutar c\u00f3digo en el servidor sin autenticarse, y ya se han observado ataques.<\/p>\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp\" alt=\"Esquema de PHP2Shell: cinco c\u00edrculos conectados a un recuadro con el s\u00edmbolo del terminal\" width=\"1200\" height=\"630\"\/><\/figure>\n<p>En este art\u00edculo explico qu\u00e9 son y qu\u00e9 versiones de PHP afectan. Cuento c\u00f3mo proteg\u00ed los servidores que gestiono mientras no hab\u00eda parche, y c\u00f3mo llegu\u00e9 a la actualizaci\u00f3n definitiva. Tambi\u00e9n encontrar\u00e1s el script que us\u00e9 y los comandos para lanzarlo.<\/p>\n<h2 class=\"wp-block-heading\">Qu\u00e9 es PHP2Shell<\/h2>\n<p>El problema est\u00e1 en c\u00f3mo PHP lee las peticiones de tipo <code>multipart\/form-data<\/code>. Es el formato que usa el navegador para enviar archivos. PHP lo interpreta antes de que arranque cualquier script.<\/p>\n<p>Por eso no hace falta un m\u00f3dulo de subida. Puede bastar una sola petici\u00f3n a cualquier archivo PHP del sitio.<\/p>\n<p>Los dos fallos, en resumen:<\/p>\n<ul class=\"wp-block-list\">\n<li><strong>CVE-2026-109618.<\/strong> Si la memoria se agota mientras PHP lee la petici\u00f3n, algunos datos se corrompen. La corrupci\u00f3n aflora en la limpieza final de la petici\u00f3n y puede llevar a ejecutar c\u00f3digo.<\/li>\n<li><strong>CVE-2026-109619.<\/strong> Parte del estado de una petici\u00f3n se queda en memoria. Una petici\u00f3n posterior, en el mismo proceso, lo reutiliza.<\/li>\n<\/ul>\n<p>Estos detalles t\u00e9cnicos vienen del <a href=\"https:\/\/github.com\/NCSC-NL\/php2shell\/wiki\" target=\"_blank\" rel=\"noopener\">an\u00e1lisis del NCSC neerland\u00e9s<\/a> y de otras fuentes p\u00fablicas. No he intentado explotar los fallos en mis servidores.<\/p>\n<h2 class=\"wp-block-heading\">Qu\u00e9 versiones de PHP est\u00e1n afectadas<\/h2>\n<p>Las versiones corregidas salieron el 21 de octubre de 2026: <strong>PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/strong>. Toda versi\u00f3n anterior a estas est\u00e1 afectada.<\/p>\n<p>Las ramas 8.1 y anteriores no tienen versi\u00f3n corregida oficial, porque ya no tienen soporte. PHP solo ha publicado unos backports m\u00ednimos del c\u00f3digo fuente para 7.4, 8.0 y 8.1. Para ramas a\u00fan m\u00e1s antiguas no consta nada.<\/p>\n<p>El riesgo alcanza a cualquier forma de ejecutar PHP. La m\u00e1s expuesta es mod_php. Tambi\u00e9n cuentan PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. Y afecta a toda aplicaci\u00f3n que se ejecuta sobre PHP: WordPress, Joomla, Drupal, Nextcloud, phpMyAdmin, Roundcube y el panel ISPConfig.<\/p>\n<p>En Debian hay un detalle que conviene conocer. Debian aplica las correcciones como backports y no cambia el n\u00famero de versi\u00f3n de PHP. Un servidor puede mostrar un n\u00famero bajo y estar ya corregido. Por eso el script no compara versiones. Comprueba si el changelog del paquete instalado cita las dos CVE.<\/p>\n<h2 class=\"wp-block-heading\">La mitigaci\u00f3n, a la espera del parche<\/h2>\n<p>Cuando los fallos se hicieron p\u00fablicos, los parches a\u00fan no estaban disponibles para las distribuciones. No quer\u00eda dejar los servidores al descubierto, as\u00ed que reduje el riesgo con un script.<\/p>\n<p><strong>La mitigaci\u00f3n no es un parche.<\/strong> Desactivar <code>session.upload_progress<\/code> cierra solo una de las v\u00edas conocidas de la CVE-2026-109619 y no hace nada contra la CVE-2026-109618. Serv\u00eda para reducir el margen de ataque hasta la actualizaci\u00f3n, no para sustituirla.<\/p>\n<h3 class=\"wp-block-heading\">Qu\u00e9 hace el script<\/h3>\n<p>El script est\u00e1 pensado para Debian 12 y 13. Funciona con Apache (mod_php, FastCGI, suPHP, PHP-FPM) y con Nginx (PHP-FPM). Reconoce los servidores gestionados con ISPConfig, tanto Apache como Nginx.<\/p>\n<p>Las opciones:<\/p>\n<ul class=\"wp-block-list\">\n<li>Sin opciones, solo comprueba. Para cada paquete PHP verifica que el changelog cite las dos CVE. Se\u00f1ala los procesos que a\u00fan usan un binario viejo, lee los ajustes activos y los puertos web en escucha.<\/li>\n<li><code>--update<\/code> actualiza antes el \u00edndice de paquetes.<\/li>\n<li><code>--logs<\/code> busca indicios sospechosos: archivos PHP recientes en las carpetas de subida o cach\u00e9, patrones t\u00edpicos de webshells, referencias a php2shell en los logs. Es una heur\u00edstica y no prueba que haya compromiso.<\/li>\n<li><code>--harden<\/code> aplica el endurecimiento descrito m\u00e1s abajo.<\/li>\n<li><code>--dry-run<\/code>, junto con <code>--harden<\/code>, muestra lo que har\u00eda sin modificar nada.<\/li>\n<li><code>--skip-disable-functions<\/code>, junto con <code>--harden<\/code>, no toca <code>disable_functions<\/code>.<\/li>\n<li><code>--rollback<\/code> quita lo aplicado por <code>--harden<\/code>.<\/li>\n<\/ul>\n<h3 class=\"wp-block-heading\">Qu\u00e9 cambia con &#8211;harden<\/h3>\n<p>Para cada versi\u00f3n de PHP presente en <code>\/etc\/php<\/code>, el script crea el archivo <code>mods-available\/cve-hardening.ini<\/code>. Lo activa con <code>phpenmod<\/code> para los SAPI fpm, apache2 y cgi. As\u00ed la protecci\u00f3n vale para todos los sitios de una vez.<\/p>\n<p>Los <code>php.ini<\/code> originales quedan intactos. La CLI no se toca, de modo que composer, artisan y wp-cli siguen funcionando.<\/p>\n<p>El archivo establece tres cosas:<\/p>\n<ul class=\"wp-block-list\">\n<li><code>session.upload_progress.enabled = Off<\/code><\/li>\n<li><code>expose_php = Off<\/code><\/li>\n<li><code>disable_functions<\/code> con exec, passthru, shell_exec, system, proc_open, popen y pcntl_exec, a\u00f1adidas a las que ya hubiera.<\/li>\n<\/ul>\n<p>Despu\u00e9s el script prueba la configuraci\u00f3n y recarga PHP-FPM y Apache solo si la prueba pasa. Antes de escribir hace una copia de seguridad en <code>\/var\/backups\/php-cve-hardening\/<\/code>.<\/p>\n<h3 class=\"wp-block-heading\">Los l\u00edmites que hay que conocer<\/h3>\n<ul class=\"wp-block-list\">\n<li><code>disable_functions<\/code> puede romper algunas aplicaciones, por ejemplo WordPress con ciertos plugins o Magento. Si pasa, usa <code>--rollback<\/code> o vuelve a lanzar con <code>--skip-disable-functions<\/code>.<\/li>\n<li>Las directivas <code>php_admin_value<\/code> de los pools de PHP-FPM tienen prioridad sobre el archivo global. El script las se\u00f1ala pero no las modifica.<\/li>\n<li>Con ISPConfig, los archivos de <code>pool.d<\/code> los regenera el panel. Los overrides se corrigen desde el panel, en Sites, Website, Options, Custom php.ini settings, no a mano.<\/li>\n<li>Los <code>php.ini<\/code> de cada sitio (modo FastCGI o suPHP de ISPConfig) y las versiones de PHP en <code>\/opt<\/code> no se gestionan. Hay que revisarlos aparte.<\/li>\n<\/ul>\n<h2 class=\"wp-block-heading\">C\u00f3mo lanzar el script<\/h2>\n<p>El script est\u00e1 aqu\u00ed: <a href=\"https:\/\/cisilino.com\/mscripts\/php20261.sh\">https:\/\/cisilino.com\/mscripts\/php20261.sh<\/a><\/p>\n<p>Antes de ejecutar cualquier script descargado de internet, l\u00e9elo. Puedes descargarlo y abrirlo:<\/p>\n<pre class=\"wp-block-code\"><code>wget -qO php20261.sh https:\/\/cisilino.com\/mscripts\/php20261.sh\nless php20261.sh<\/code><\/pre>\n<p>Si quieres lanzarlo directamente en remoto, hacen falta privilegios de root. Estos son los comandos, en el orden que recomiendo.<\/p>\n<p>1. Solo comprobaci\u00f3n, con actualizaci\u00f3n del \u00edndice de paquetes:<\/p>\n<pre class=\"wp-block-code\"><code>wget -qO- https:\/\/cisilino.com\/mscripts\/php20261.sh | sudo bash -s -- --update<\/code><\/pre>\n<p>2. Simulaci\u00f3n del endurecimiento, sin cambios:<\/p>\n<pre class=\"wp-block-code\"><code>wget -qO- https:\/\/cisilino.com\/mscripts\/php20261.sh | sudo bash -s -- --harden --dry-run<\/code><\/pre>\n<p>3. Aplicaci\u00f3n:<\/p>\n<pre class=\"wp-block-code\"><code>wget -qO- https:\/\/cisilino.com\/mscripts\/php20261.sh | sudo bash -s -- --harden<\/code><\/pre>\n<p>4. Eliminaci\u00f3n, si algo se rompe:<\/p>\n<pre class=\"wp-block-code\"><code>wget -qO- https:\/\/cisilino.com\/mscripts\/php20261.sh | sudo bash -s -- --rollback<\/code><\/pre>\n<p>Despu\u00e9s de <code>--harden<\/code> y de <code>--rollback<\/code> no hace falta reiniciar nada a mano: el script recarga solo PHP-FPM y Apache, tras probar la configuraci\u00f3n. El reinicio s\u00ed hace falta despu\u00e9s de actualizar el paquete PHP, porque los procesos en ejecuci\u00f3n conservan en memoria el binario viejo:<\/p>\n<pre class=\"wp-block-code\"><code>sudo systemctl restart 'php*-fpm' apache2<\/code><\/pre>\n<p>Las comillas simples alrededor de <code>php*-fpm<\/code> son necesarias. Sin ellas, es la shell quien expande el asterisco, no systemctl. Si el servidor usa solo Nginx, quita <code>apache2<\/code>.<\/p>\n<p>El resultado del script es tambi\u00e9n un c\u00f3digo de salida: 0 si todo est\u00e1 bien, 1 si hay avisos, 2 si el sistema es vulnerable o hace falta alguna acci\u00f3n.<\/p>\n<h2 class=\"wp-block-heading\">En servidores con ISPConfig: ispconfig-multipart-guard<\/h2>\n<p><a href=\"https:\/\/www.ispconfig.org\/blog\/php2shell-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"nofollow noopener\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/ispconfig-logo.png\" alt=\"Logotipo de ISPConfig\" width=\"239\" height=\"90\"><\/a><\/p>\n<p>Quien usa ISPConfig tiene un arma m\u00e1s. El proyecto ha publicado el script <strong>ispconfig-multipart-guard<\/strong>, descrito en <a href=\"https:\/\/www.ispconfig.org\/blog\/php2shell-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"nofollow noopener\">el aviso oficial de ISPConfig<\/a>.<\/p>\n<p>El principio es simple. Si el problema est\u00e1 en las peticiones multipart, el servidor web las detiene antes de que lleguen a PHP:<\/p>\n<ul class=\"wp-block-list\">\n<li>bloquea las peticiones <code>Content-Type: multipart\/...<\/code> para todos los sitios, para algunos sitios elegidos o para el panel de control;<\/li>\n<li>con Nginx responde 415 a las peticiones PHP de los sitios bloqueados y los archivos est\u00e1ticos no cambian. Con Apache responde 403, tambi\u00e9n para los archivos est\u00e1ticos;<\/li>\n<li>por defecto bloquea solo el panel de ISPConfig. Los sitios hay que bloquearlos con comandos como <code>block all<\/code> o <code>block esempio.it<\/code>;<\/li>\n<li>crea un cron que cada 5 minutos restablece sus hooks, si ISPConfig reescribe la configuraci\u00f3n;<\/li>\n<li>tiene una lista de IP autorizadas que a\u00fan pueden subir archivos.<\/li>\n<\/ul>\n<p>Funciona con Debian y Ubuntu, con ISPConfig 3.2 o 3.3 (y tambi\u00e9n sin ISPConfig), con Nginx o con Apache 2.4 y posteriores.<\/p>\n<p>El precio es que en los sitios bloqueados las subidas no funcionan. Eso incluye los medios de los CMS, los adjuntos de los formularios y los del webmail, y las importaciones de phpMyAdmin. Las p\u00e1ginas normales y los formularios urlencoded siguen funcionando. Esta tambi\u00e9n es una medida provisional y no una correcci\u00f3n.<\/p>\n<p>Este script y el m\u00edo no son alternativos. El m\u00edo act\u00faa sobre la configuraci\u00f3n de PHP, el de ISPConfig sobre el servidor web. No los he comparado en entornos reales y no puedo decirte c\u00f3mo se comportan juntos en cada configuraci\u00f3n.<\/p>\n<h2 class=\"wp-block-heading\">La actualizaci\u00f3n definitiva, en dos pasos<\/h2>\n<p>Las mitigaciones deb\u00edan durar poco. Actualic\u00e9 los servidores en cuanto estuvieron disponibles las actualizaciones, en dos pasos:<\/p>\n<ol class=\"wp-block-list\">\n<li><strong>Compilaci\u00f3n directa.<\/strong> Mientras la distribuci\u00f3n de cada servidor publicaba su paquete, compil\u00e9 PHP desde las fuentes en las versiones corregidas.<\/li>\n<li><strong>Paquete oficial.<\/strong> Cuando el paquete oficial de la distribuci\u00f3n se public\u00f3 para ese servidor, sustitu\u00ed la compilaci\u00f3n por el paquete.<\/li>\n<\/ol>\n<p>El segundo paso cuenta. Un PHP compilado a mano no se actualiza solo con el resto del sistema. El paquete de la distribuci\u00f3n s\u00ed, y el script puede comprobarlo leyendo el changelog.<\/p>\n<h2 class=\"wp-block-heading\">Qu\u00e9 hacer ahora<\/h2>\n<ol class=\"wp-block-list\">\n<li>Actualiza PHP a la 8.5.12, 8.4.27, 8.3.36 u 8.2.35. En Debian tambi\u00e9n puedes usar el paquete de la distribuci\u00f3n cuando el changelog cite las dos CVE.<\/li>\n<li>Reinicia PHP-FPM y Apache, y vuelve a lanzar el script sin opciones. Ya no debe se\u00f1alar problemas.<\/li>\n<li>Si usas PHP 8.1 o anterior, planifica el paso a una rama con soporte. Para esas ramas no hay versi\u00f3n corregida oficial.<\/li>\n<li>Mant\u00e9n desactivado <code>session.upload_progress<\/code> hasta la pr\u00f3xima publicaci\u00f3n de correcciones, si tu aplicaci\u00f3n no lo usa.<\/li>\n<li>Revisa los logs y los archivos recientes, con <code>--logs<\/code> o a mano, buscando archivos PHP aparecidos en las carpetas de subida.<\/li>\n<li>No olvides PHP dentro de contenedores, im\u00e1genes y appliances de terceros. Hay que actualizarlos aparte.<\/li>\n<li>Si tu sitio usa WordPress, el <a href=\"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/plugin-seguridad-wordpress-cisilino\/\">plugin Cisilino Site Defense Network<\/a> no resuelve PHP2Shell. Protege, eso s\u00ed, el login y mantiene un registro de actividad, \u00fatil para entender qu\u00e9 ocurre en el sitio.<\/li>\n<\/ol>\n<h2 class=\"wp-block-heading\">Fuentes<\/h2>\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.ispconfig.org\/blog\/php2shell-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"nofollow noopener\">ISPConfig: PHP2Shell, vulnerabilidades cr\u00edticas de PHP (CVE-2026-109618, CVE-2026-109619)<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/NCSC-NL\/php2shell\/wiki\" target=\"_blank\" rel=\"noopener\">NCSC-NL: wiki sobre PHP2Shell<\/a><\/li>\n<\/ul>\n<p>ISPConfig, PHP, Debian y los dem\u00e1s nombres citados son marcas de sus respectivos propietarios. Se indican solo para identificar los productos.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Dos fallos graves en el n\u00facleo de PHP (CVE-2026-109618 y CVE-2026-109619): qu\u00e9 son, qu\u00e9 versiones afectan, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.<\/p>\n","protected":false},"author":1,"featured_media":855,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"wpai_generated_summary":"","footnotes":""},"categories":[364],"tags":[399,404,389,374,384,409,379,394,414],"class_list":["post-854","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-servidores-bases-de-datos","tag-cve-2026-109618-es","tag-cve-2026-109619-es","tag-debian-es","tag-gestion-de-servidores","tag-ispconfig-es","tag-mitigacion","tag-php-es","tag-php2shell-es","tag-seguridad-de-servidores"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"matteocisilino\"\/>\n\t<meta name=\"google-site-verification\" content=\"_A-1f0dO30IDVHfP9muflI8kHQs-H4YOi8WLUkYzuLE\" \/>\n\t<link rel=\"canonical\" href=\"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"es_ES\" \/>\n\t\t<meta property=\"og:site_name\" content=\"Matteo Cisilino - Guide su WordPress, server e sicurezza\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche\" \/>\n\t\t<meta property=\"og:description\" content=\"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp\" \/>\n\t\t<meta property=\"og:image:width\" content=\"1200\" \/>\n\t\t<meta property=\"og:image:height\" content=\"630\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2026-10-29T18:53:44+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2026-10-29T18:56:20+00:00\" \/>\n\t\t<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n\t\t<meta name=\"twitter:title\" content=\"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche\" \/>\n\t\t<meta name=\"twitter:description\" content=\"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.\" \/>\n\t\t<meta name=\"twitter:image\" content=\"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp\" \/>\n\t\t<script type=\"application\/ld+json\" class=\"aioseo-schema\">\n\t\t\t{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"BlogPosting\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#blogposting\",\"name\":\"PHP2Shell: c\\u00f3mo proteg\\u00ed los servidores sin parche\",\"headline\":\"PHP2Shell: c\\u00f3mo proteg\\u00ed los servidores a la espera del parche\",\"author\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/author\\\/matteocisilino\\\/#author\"},\"publisher\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#organization\"},\"image\":{\"@type\":\"ImageObject\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/php2shell-mitigacion-servidores-php.webp\",\"width\":1200,\"height\":630,\"caption\":\"Esquema de PHP2Shell: cinco c\\u00edrculos conectados a un recuadro con el s\\u00edmbolo del terminal\"},\"datePublished\":\"2026-10-29T19:53:44+01:00\",\"dateModified\":\"2026-10-29T19:56:20+01:00\",\"inLanguage\":\"es-ES\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#webpage\"},\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#webpage\"},\"articleSection\":\"Servidores y bases de datos, CVE-2026-109618, CVE-2026-109619, Debian, gesti\\u00f3n de servidores, ISPConfig, mitigaci\\u00f3n, PHP, php2shell, seguridad de servidores\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#breadcrumblist\",\"itemListElement\":[{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#listItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/\",\"nextItem\":{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/category\\\/servidores-bases-de-datos\\\/#listItem\",\"name\":\"Servidores y bases de datos\"}},{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/category\\\/servidores-bases-de-datos\\\/#listItem\",\"position\":2,\"name\":\"Servidores y bases de datos\",\"item\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/category\\\/servidores-bases-de-datos\\\/\",\"nextItem\":{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#listItem\",\"name\":\"PHP2Shell: c\\u00f3mo proteg\\u00ed los servidores a la espera del parche\"},\"previousItem\":{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#listItem\",\"name\":\"Home\"}},{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#listItem\",\"position\":3,\"name\":\"PHP2Shell: c\\u00f3mo proteg\\u00ed los servidores a la espera del parche\",\"previousItem\":{\"@type\":\"ListItem\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/category\\\/servidores-bases-de-datos\\\/#listItem\",\"name\":\"Servidores y bases de datos\"}}]},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#organization\",\"name\":\"Matteo Cisilino\",\"description\":\"Guide su WordPress, server e sicurezza\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/logo-cisilino-512.png\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#organizationLogo\",\"width\":512,\"height\":512,\"caption\":\"Logo: un cerchio a sinistra che si divide in cerchi pi\\u00f9 piccoli\"},\"image\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#organizationLogo\"}},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/author\\\/matteocisilino\\\/#author\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/author\\\/matteocisilino\\\/\",\"name\":\"matteocisilino\",\"image\":{\"@type\":\"ImageObject\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#authorImage\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/639872265f0661e8aee8924ba9d756b00ea816f8286fab99a5116c729d49618f?s=96&d=mm&r=g\",\"width\":96,\"height\":96,\"caption\":\"matteocisilino\"}},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#webpage\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/\",\"name\":\"PHP2Shell: c\\u00f3mo proteg\\u00ed los servidores sin parche\",\"description\":\"PHP2Shell (CVE-2026-109618 y 109619): qu\\u00e9 son, versiones de PHP afectadas, el script de mitigaci\\u00f3n y c\\u00f3mo actualic\\u00e9 los servidores.\",\"inLanguage\":\"es-ES\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#website\"},\"breadcrumb\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#breadcrumblist\"},\"author\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/author\\\/matteocisilino\\\/#author\"},\"creator\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/author\\\/matteocisilino\\\/#author\"},\"image\":{\"@type\":\"ImageObject\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/php2shell-mitigacion-servidores-php.webp\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#mainImage\",\"width\":1200,\"height\":630,\"caption\":\"Esquema de PHP2Shell: cinco c\\u00edrculos conectados a un recuadro con el s\\u00edmbolo del terminal\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/2026\\\/10\\\/29\\\/php2shell-cve-2026-109618-mitigacion-servidores\\\/#mainImage\"},\"datePublished\":\"2026-10-29T19:53:44+01:00\",\"dateModified\":\"2026-10-29T19:56:20+01:00\"},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#website\",\"url\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/\",\"name\":\"Matteo Cisilino\",\"description\":\"Guide su WordPress, server e sicurezza\",\"inLanguage\":\"es-ES\",\"publisher\":{\"@id\":\"https:\\\/\\\/www.cisilino.com\\\/es\\\/#organization\"}}]}\n\t\t<\/script>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","description":"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.","canonical_url":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/","robots":"max-image-preview:large","keywords":"","webmasterTools":{"google-site-verification":"_A-1f0dO30IDVHfP9muflI8kHQs-H4YOi8WLUkYzuLE","miscellaneous":""},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"BlogPosting","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#blogposting","name":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","headline":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche","author":{"@id":"https:\/\/www.cisilino.com\/es\/author\/matteocisilino\/#author"},"publisher":{"@id":"https:\/\/www.cisilino.com\/es\/#organization"},"image":{"@type":"ImageObject","url":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp","width":1200,"height":630,"caption":"Esquema de PHP2Shell: cinco c\u00edrculos conectados a un recuadro con el s\u00edmbolo del terminal"},"datePublished":"2026-10-29T19:53:44+01:00","dateModified":"2026-10-29T19:56:20+01:00","inLanguage":"es-ES","mainEntityOfPage":{"@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#webpage"},"isPartOf":{"@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#webpage"},"articleSection":"Servidores y bases de datos, CVE-2026-109618, CVE-2026-109619, Debian, gesti\u00f3n de servidores, ISPConfig, mitigaci\u00f3n, PHP, php2shell, seguridad de servidores"},{"@type":"BreadcrumbList","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#breadcrumblist","itemListElement":[{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/#listItem","position":1,"name":"Home","item":"https:\/\/www.cisilino.com\/es\/","nextItem":{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/#listItem","name":"Servidores y bases de datos"}},{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/#listItem","position":2,"name":"Servidores y bases de datos","item":"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/","nextItem":{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#listItem","name":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche"},"previousItem":{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/#listItem","name":"Home"}},{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#listItem","position":3,"name":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche","previousItem":{"@type":"ListItem","@id":"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/#listItem","name":"Servidores y bases de datos"}}]},{"@type":"Organization","@id":"https:\/\/www.cisilino.com\/es\/#organization","name":"Matteo Cisilino","description":"Guide su WordPress, server e sicurezza","url":"https:\/\/www.cisilino.com\/es\/","logo":{"@type":"ImageObject","url":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/logo-cisilino-512.png","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#organizationLogo","width":512,"height":512,"caption":"Logo: un cerchio a sinistra che si divide in cerchi pi\u00f9 piccoli"},"image":{"@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#organizationLogo"}},{"@type":"Person","@id":"https:\/\/www.cisilino.com\/es\/author\/matteocisilino\/#author","url":"https:\/\/www.cisilino.com\/es\/author\/matteocisilino\/","name":"matteocisilino","image":{"@type":"ImageObject","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#authorImage","url":"https:\/\/secure.gravatar.com\/avatar\/639872265f0661e8aee8924ba9d756b00ea816f8286fab99a5116c729d49618f?s=96&d=mm&r=g","width":96,"height":96,"caption":"matteocisilino"}},{"@type":"WebPage","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#webpage","url":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/","name":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","description":"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.","inLanguage":"es-ES","isPartOf":{"@id":"https:\/\/www.cisilino.com\/es\/#website"},"breadcrumb":{"@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#breadcrumblist"},"author":{"@id":"https:\/\/www.cisilino.com\/es\/author\/matteocisilino\/#author"},"creator":{"@id":"https:\/\/www.cisilino.com\/es\/author\/matteocisilino\/#author"},"image":{"@type":"ImageObject","url":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp","@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#mainImage","width":1200,"height":630,"caption":"Esquema de PHP2Shell: cinco c\u00edrculos conectados a un recuadro con el s\u00edmbolo del terminal"},"primaryImageOfPage":{"@id":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/#mainImage"},"datePublished":"2026-10-29T19:53:44+01:00","dateModified":"2026-10-29T19:56:20+01:00"},{"@type":"WebSite","@id":"https:\/\/www.cisilino.com\/es\/#website","url":"https:\/\/www.cisilino.com\/es\/","name":"Matteo Cisilino","description":"Guide su WordPress, server e sicurezza","inLanguage":"es-ES","publisher":{"@id":"https:\/\/www.cisilino.com\/es\/#organization"}}]},"og:locale":"es_ES","og:site_name":"Matteo Cisilino - Guide su WordPress, server e sicurezza","og:type":"article","og:title":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","og:description":"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.","og:url":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/","og:image":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp","og:image:secure_url":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp","og:image:width":1200,"og:image:height":630,"article:published_time":"2026-10-29T18:53:44+00:00","article:modified_time":"2026-10-29T18:56:20+00:00","twitter:card":"summary_large_image","twitter:title":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","twitter:description":"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.","twitter:image":"https:\/\/www.cisilino.com\/wp-content\/uploads\/2026\/10\/php2shell-mitigacion-servidores-php.webp"},"aioseo_meta_data":{"post_id":"854","title":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores sin parche","description":"PHP2Shell (CVE-2026-109618 y 109619): qu\u00e9 son, versiones de PHP afectadas, el script de mitigaci\u00f3n y c\u00f3mo actualic\u00e9 los servidores.","keywords":null,"keyphrases":{"focus":{"keyphrase":"php2shell"}},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_custom_url":null,"og_image_custom_fields":null,"og_image_url":null,"og_image_width":null,"og_image_height":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_image_url":null,"twitter_title":null,"twitter_description":null,"schema_type":"default","schema_type_options":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"limit_modified_date":false,"ai":null,"breadcrumb_settings":null,"seo_analyzer_scan_date":null,"created":"2026-10-29 18:54:13","updated":"2026-10-29 22:02:52","focus_keyword":"php2shell","additional_keywords":null,"truseo_locale":null},"aioseo_breadcrumb":"<div class=\"aioseo-breadcrumbs\"><span class=\"aioseo-breadcrumb\">\n\t\t\t<a href=\"https:\/\/www.cisilino.com\/es\/\" title=\"Home\">Home<\/a>\n\t\t<\/span><span class=\"aioseo-breadcrumb-separator\">\u00bb<\/span><span class=\"aioseo-breadcrumb\">\n\t\t\t<a href=\"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/\" title=\"Servidores y bases de datos\">Servidores y bases de datos<\/a>\n\t\t<\/span><span class=\"aioseo-breadcrumb-separator\">\u00bb<\/span><span class=\"aioseo-breadcrumb\">\n\t\t\tPHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche\n\t\t<\/span><\/div>","aioseo_breadcrumb_json":[{"label":"Home","link":"https:\/\/www.cisilino.com\/es\/"},{"label":"Servidores y bases de datos","link":"https:\/\/www.cisilino.com\/es\/category\/servidores-bases-de-datos\/"},{"label":"PHP2Shell: c\u00f3mo proteg\u00ed los servidores a la espera del parche","link":"https:\/\/www.cisilino.com\/es\/2026\/10\/29\/php2shell-cve-2026-109618-mitigacion-servidores\/"}],"_links":{"self":[{"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/posts\/854","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/comments?post=854"}],"version-history":[{"count":2,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/posts\/854\/revisions"}],"predecessor-version":[{"id":867,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/posts\/854\/revisions\/867"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/media\/855"}],"wp:attachment":[{"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/media?parent=854"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/categories?post=854"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cisilino.com\/es\/wp-json\/wp\/v2\/tags?post=854"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}