PHP2Shell: Cómo Revisar, Parchear y Mitigar CVE-2026-109618 y CVE-2026-109619

Cronología (fechas tal como las publica cada fuente)

Inventario: cada PHP de la máquina y el paquete que lo respalda

Correlo en cada host y dentro de cada contenedor. Lo que demuestra un backport es la revisión del paquete, no la cadena de versión.

# 1. Qué ramas están instaladas (estructura de Debian/Ubuntu)
ls /etc/php/
php -v                      # solo el CLI: el primer binario de tu PATH

# 2. Los binarios que sirven peticiones web
php-fpm8.4 -v               # Debian/Ubuntu: un php-fpmX.Y por rama
php-fpm -v                  # RHEL, Alma, Rocky, streams de módulo de Remi
apachectl -M 2>/dev/null | grep -i php   # php_module = mod_php (httpd -M en RHEL)

# 3. Revisiones de paquete: lo que cuenta cuando el arreglo es un backport
dpkg -l 'php*' 'libapache2-mod-php*' | awk '/^ii/ {print $2, $3}'
rpm -qa 'php*' | sort

# 4. Contenedores: lo que está corriendo, no a dónde apunta hoy el tag
docker exec <contenedor> php -v
docker run --rm --pull=always php:8.4-fpm php -v

# 5. Desde fuera, solo si expose_php está activo
curl -sI https://example.com | grep -i '^x-powered-by'

Qué corre FPM de verdad, sin publicar una página phpinfo()

El boletín de Red Hat advierte que php -i solo muestra la configuración del CLI. Esto le pregunta directamente al socket de FPM, así que no exponés nada por el servidor web, y luego lista los procesos que siguen mapeando un binario o módulo de PHP viejo tras actualizar.

# cgi-fcgi viene en libfcgi-bin (Debian/Ubuntu) o fcgi (EPEL)
sudo tee /var/www/php2shell-check.php >/dev/null <<'EOF'
<?php
header('Content-Type: text/plain');
echo PHP_VERSION, ' ', PHP_SAPI, PHP_EOL;
foreach (['session.upload_progress.enabled', 'memory_limit',
          'post_max_size', 'fatal_error_backtraces'] as $k) {
    echo $k, ' = ', var_export(ini_get($k), true), PHP_EOL;
}
EOF
sudo env SCRIPT_FILENAME=/var/www/php2shell-check.php REQUEST_METHOD=GET \
  cgi-fcgi -bind -connect /run/php/php8.4-fpm.sock   # RHEL: /run/php-fpm/www.sock
sudo rm /var/www/php2shell-check.php

# Tras apt/dnf: procesos que siguen corriendo un binario o módulo de PHP reemplazado
sudo grep -l 'php.*(deleted)' /proc/[0-9]*/maps 2>/dev/null

Pool de PHP-FPM: ajustes que una app no puede sobrescribir

Sale directo del advisory de php.net y de GHSA-6wmf-4rv5-p3rp. php_admin_value y php_admin_flag no se pueden cambiar después con ini_set().

; /etc/php/8.4/fpm/pool.d/www.conf   (RHEL: /etc/php-fpm.d/www.conf)
php_admin_flag[session.upload_progress.enabled] = off
; -1 solo junto con un tope de memoria de cgroup o contenedor (abajo)
php_admin_value[memory_limit] = -1
; 8M si la app no recibe subidas, 32M si las recibe
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M
; Solo PHP 8.5, las ramas anteriores no conocen esta directiva:
; php_admin_flag[fatal_error_backtraces] = off
; Último recurso si el rendimiento no importa (GHSA-6wmf-4rv5-p3rp):
; pm.max_requests = 1

# Ningún otro pool, archivo de conf.d o vhost debe devolver un límite finito
grep -rn 'memory_limit\|upload_progress' /etc/php/8.4/
sudo systemctl restart php8.4-fpm

Apache mod_php, más el tope de cgroup que necesita memory_limit=-1

php.net pide un límite de memoria externo que mate solo al worker afectado. MemoryMax= de systemd pone el tope; OOMPolicy=continue mantiene el servicio arriba cuando el kernel mata un proceso (la política por defecto detiene toda la unidad). Ajustá el tope a tu máquina.

# /etc/apache2/conf-available/php2shell.conf  (RHEL: /etc/httpd/conf.d/)
<IfModule php_module>
    php_admin_flag  session.upload_progress.enabled off
    php_admin_value memory_limit -1
    php_admin_value post_max_size 8M
    php_admin_value upload_max_filesize 6M
</IfModule>
sudo a2enconf php2shell && sudo systemctl restart apache2

# sudo systemctl edit php8.4-fpm   (o apache2 / httpd)
[Service]
MemoryMax=2G
OOMPolicy=continue

Señales que nombran las fuentes

• Wiz: peticiones multipart inusuales seguidas de errores de límite de memoria o respuestas HTTP 500 repetidas, cookies PHPSESSID de respuesta inesperadamente grandes o malformadas, y rotación de workers de PHP sin explicación.
• Amazon: peticiones POST con la cadena PHP_SESSION_UPLOAD_PROGRESS en subidas de formularios. Esa cadena va en el cuerpo de la petición, así que solo la verá un WAF o un log del cuerpo.
• Advisory de PHP: ‘Maximum execution time exceeded’, errores de parseo, compilación y no capturados, warnings o deprecations repetidos antes de que corran tus scripts, y diagnósticos durante la limpieza.
• IPs de Amazon: seis direcciones de infraestructura de anonimización compartida. Amazon dice que investigues las coincidencias en lugar de solo bloquearlas.

Búsqueda en logs de solo lectura (rutas de Debian/Ubuntu; ajustalas en RHEL)

Todo lo de abajo solo lee logs. zgrep y zcat -f también leen los .gz rotados.

# 1. Errores fatales que actúan como disparadores
sudo zgrep -hE 'Allowed memory size of [0-9]+ bytes exhausted|Maximum execution time of [0-9]+ seconds? exceeded' \
  /var/log/php*-fpm.log* /var/log/apache2/error.log* /var/log/nginx/error.log* 2>/dev/null | tail -50

# 2. Rotación de workers: hijos de FPM que mueren, hijos de Apache que fallan
sudo zgrep -hE 'exited on signal|exited with code [1-9]' /var/log/php*-fpm.log* | tail -50
sudo zgrep -h 'exit signal' /var/log/apache2/error.log* | tail -20

# 3. Ráfagas de 500 en POST, por IP de cliente y minuto (formato combined)
sudo zcat -f /var/log/nginx/access.log* | \
  awk '$6=="\"POST" && $9==500 {split($4,t,":"); print $1, t[1]":"t[2]":"t[3]}' | \
  sort | uniq -c | sort -rn | head -20

# 4. Las IPs que publicó Amazon (infraestructura compartida: investigá, no solo bloquees)
sudo zgrep -hE '^(103\.216\.220\.92|31\.223\.184\.166|37\.19\.200\.5|134\.209\.159\.64|103\.114\.163\.188|95\.217\.98\.37) ' \
  /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null

Registrá lo que los formatos por defecto no guardan, durante unas semanas

El formato combined no guarda ni el Content-Type ni las cookies de respuesta. Estos formatos añaden ambos. Los valores de Set-Cookie son IDs de sesión vivos: restringí el acceso a este log y borralo cuando termines.

# nginx (dentro de http {})
log_format php2shell '$remote_addr [$time_local] "$request" $status '
                     '$request_length "$content_type" "$sent_http_set_cookie"';
access_log /var/log/nginx/php2shell.log php2shell;

# Apache (necesita mod_logio para %I)
LogFormat "%h %t \"%r\" %>s %I \"%{Content-Type}i\" \"%{Set-Cookie}o\"" php2shell
CustomLog ${APACHE_LOG_DIR}/php2shell.log php2shell

# Valores de PHPSESSID mucho más largos que tu session.sid_length (por defecto 32)
grep -ohE 'PHPSESSID=[^;" ]+' /var/log/nginx/php2shell.log | awk 'length($0) > 80' | sort | uniq -c | head