PHP 8.2.35: parche urgente para dos fallos críticos

PHP 8.2.35: el parche que corrige dos fallos de ejecución remota de código

PHP 8.2.35 ya está disponible y no es una actualización de rutina: corrige dos vulnerabilidades críticas que permiten ejecución remota de código sin autenticación. Si tu producto corre sobre PHP, esta es la actualización más urgente del año para cualquiera que tenga un servidor en producción.

El equipo de desarrollo de PHP publicó la versión el 21 de octubre y fue explícito en el anuncio: no existen mitigaciones completas, actualizar es la única opción segura. La release fue firmada por Sergey Panteleev y el código está en el repositorio oficial del proyecto.

¿Qué son CVE-2026-109618 y CVE-2026-109619?

Los dos fallos se conocen en conjunto como PHP2Shell y afectan a versiones de PHP desde la 5.4 hasta la 8.5, según el repositorio operativo que el NCSC neerlandés publicó para CERT-EU. Ambos permiten ejecución remota de código (RCE, por sus siglas en inglés) sin autenticación.

La mecánica de cada uno es distinta:

• CVE-2026-109618: ejecución remota de código a través de una corrupción por agotamiento de memoria durante la limpieza de la petición.
• CVE-2026-109619: ejecución remota de código mediante estado global obsoleto que pertenece a una petición y es reutilizado por una petición posterior en el mismo worker.

El segundo caso explica por qué el riesgo es tan alto en arquitecturas con workers persistentes: un atacante no necesita credenciales ni interacción del usuario, solo alcanzar el servidor. El aviso de CERT-EU señala que todas las instalaciones de PHP que sirven peticiones web están en riesgo, incluidas PHP-FPM, Apache con modphp, php-cgi, FrankenPHP y LiteSpeed, y que el riesgo es máximo en modphp, donde una petición no autenticada puede disparar la explotación antes de que corra el código de la aplicación.

¿Qué versiones tienen parche y cuáles quedaron afuera?

El mismo 21 de octubre PHP publicó versiones corregidas para cuatro ramas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para PHP 7.4, 8.0 y 8.1 solo hay backports mínimos de código fuente, sin binarios oficiales, porque esas ramas ya están fuera de soporte.

Ese detalle importa: si tu stack quedó en 8.1 o anterior, no vas a resolverlo con un simple apt upgrade. Tendrás que compilar el backport o migrar de rama.

Y hay una fecha que aprieta: PHP 8.2 llega a su fin de vida el 31 de diciembre de 2026 y no recibirá más parches de seguridad después de esa fecha, según el propio anuncio del equipo. Es decir, este 8.2.35 es uno de los últimos salvavidas de esa rama.

¿Qué tan grave es? La reacción global

La calificación de PHP es de 9.2 sobre 10 (crítica) bajo CVSS v4.0, el estándar de puntuación de vulnerabilidades, mientras que la firma de seguridad watchTowr la llevó a 10.0, según el registro público del incidente.

El alcance potencial explica la reacción: alrededor del 69% de los sitios web usan PHP, incluidos los que corren sobre WordPress, Drupal y Joomla, según reportó NBC News. Y el riesgo no se limita a sitios: el aviso de CERT-EU advierte que PHP también está embebido en appliances, dispositivos de red e interfaces de administración donde el administrador no puede actualizar PHP directamente.

Las consecuencias se vieron en horas:

• Varios gobiernos europeos sacaron servicios de internet como precaución, entre ellos el portal Overheid.nl de Países Bajos, los servicios públicos finlandeses y los sitios del Ministerio del Interior francés, según Reuters y la BBC.
• La Fundación Wikimedia apagó servicios de soporte, y foros como 4chan y Something Awful quedaron offline.
• La NSA recomendó que los sitios se desconectaran si no podían actualizar de inmediato.
• Cloudflare reportó señales de explotación previas a la publicación del parche y desplegó reglas temporales de WAF (cortafuegos de aplicaciones web).

Sobre la explotación activa hay versiones distintas: watchTowr dijo haber observado ataques en la naturaleza el 21 de octubre a través de su red de honeypots (servidores trampa), mientras que CISA declaró no haber observado explotación ese mismo día. La firma Sansec anticipó que los ataques masivos empezarían dentro de los 15 minutos posteriores al lanzamiento.

Un dato de contexto que conviene tener presente: el fallo no lo encontró un humano revisando código a mano. Según Wiz, la firma Calif lo detectó en agosto de 2026 durante una auditoría asistida por IA en el marco del proyecto "Patch the Planet" de OpenAI, y Wiz llegó a los mismos fallos de forma independiente. Es un caso de manual sobre cómo la IA está cambiando la economía del descubrimiento de vulnerabilidades: lo que antes tardaba años ahora aparece en semanas.

¿Qué significa esto para tu startup?

Si tu producto es un SaaS, una app web o simplemente tienes un WordPress en producción, esta noticia te toca directamente. La buena noticia es que el parche existe y es gratis. La mala es que la ventana para aplicarlo es corta y el costo de no hacerlo es total: ejecución remota de código sin autenticación significa que un atacante puede tomar control del servidor.

Hay tres cosas que conviene revisar hoy:

1. Inventario antes que parche. No sabes qué actualizar hasta saber qué tienes. Revisa no solo tus servidores principales, sino también imágenes de contenedores, appliances, paneles de administración y cualquier producto de terceros que empaquete PHP. El aviso de CERT-EU es explícito en ese punto: los runtimes embebidos suelen quedar fuera del radar.
2. Prioriza por exposición, no por versión. El riesgo más alto está en mod_php con Apache. Si tienes servicios internos y servicios públicos, empieza por los públicos.
3. Si no puedes actualizar ya, mitiga y documenta. PHP publicó mitigaciones temporales: desactivar session.upload_progress, reiniciar workers y revisar la configuración de memory_limit, post_max_size y las trazas de error fatal de PHP 8.5. El propio equipo advierte que no son soluciones completas. Úsalas como puente, no como destino.

Y una cuarta, más estratégica: si tu stack está en una rama sin soporte, esto es la señal para migrar. El ciclo de vida de PHP es público y predecible: cada rama recibe correcciones por un tiempo acotado y luego queda expuesta. Sostener una versión sin soporte es una deuda de seguridad que se cobra de golpe, como se vio esta vez.

Cómo actualizar sin romper producción

Un parche de seguridad crítico no justifica saltarse el proceso. La secuencia que funciona:

• Prueba en un entorno de staging con tráfico real. Los parches de seguridad en ramas menores rara vez rompen compatibilidad, pero tu código y tus extensiones son el factor de riesgo, no PHP.
• Actualiza primero los entornos expuestos a internet, luego los internos.
• Reinicia los workers y el pool de PHP-FPM después de actualizar. Un binario nuevo con procesos viejos sigue ejecutando código vulnerable.
• Verifica la versión efectiva con php -v en cada nodo, no solo en el balanceador.
• Revisa los logs de acceso en busca de patrones anómalos desde el 20 de octubre, cuando la existencia del fallo se hizo pública antes del parche.

Si tu equipo no tiene a nadie dedicado a infraestructura, esta es una buena razón para pedir ayuda externa hoy y no la semana que viene. La ventana entre la divulgación y la explotación masiva se mide en horas, no en días.

Fuentes

• PHP 8.2.35 release (fuente original)
• Aviso de seguridad de PHP
• NCSC-NL / CERT-EU: información operativa sobre PHP2Shell
• Registro del incidente PHP2Shell