# PHP2Shell: dúas fallas críticas de PHP, un embargo que se filtrou e o que se sabe realmente sobre a explotación

Published: 2026-10-22

PHP publicou correccións de emerxencia para dúas vulnerabilidades críticas de execución remota de código, CVE-2026-109618 e CVE-2026-109619, chamadas PHP2Shell. A publicación tivo lugar o 21 de outubro de 2026. O episodio explica os dous erros de memoria en termos sinxelos, por que unha pista dunha auditoría de 2024 agardou por unha corrección, como se filtrou o embargo e que fontes din que sobre a explotación. Tamén cubre o lanzamento do parche crítico de GitLab o mesmo día e unha orde de sanción de 25 mil millóns de dólares a Meta en Novo México.

Canonical: https://thedailydiff.dev/gl/video/2026-10-22-php2shell/

## Que abrangue este vídeo

- Ambas as fallas están valoradas en 9.2 en CVSS v4.0 polo equipo de PHP. As versións corrixidas son PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12; PHP 7.4, 8.0 e 8.1 só recibiron parches de orixe. PHP di que a actualización é a única mitigación completa.
- A primeira falla provén de que PHP deixa unha solicitude medio construída cando se queda sen memoria no momento equivocado. A segunda provén dun punteiro sobrante á memoria dunha solicitude que unha solicitude posterior no mesmo traballador pode usar. En Apache con mod\_php, o primeiro camiño execútase antes do código da aplicación.
- Un desenvolvedor principal de PHP atopou os primeiros sinais do problema de memoria durante unha auditoría de 2024. A Fundación PHP di que as correccións en competencia tiñan compromisos e un equipo de seguridade baseado no consenso tivo dificultades para elixir, o que chama un fallo estrutural.
- A Fundación di que os IDs de CVE filtráronse o 20 de outubro, Calif publicou por erro un vídeo de proba de concepto e Chainguard publicou imaxes construídas coa corrección máis de seis horas antes do lanzamento. O CEO de Chainguard di que a xente xa estaba sendo afectada e que atopou os erros de forma independente.
- As fontes discrepan sobre a explotación. Amazon rexistrou un intento o 17 de outubro e despois dixo que PHP2Shell foi amplamente explotado. watchTowr informou da explotación na natureza. CISA non observara explotación na publicación, e o equipo de PHP non atopou ningunha explotación funcional no lanzamento. Moitos scripts públicos de proba de concepto non funcionan.
- Comproba todos os lugares onde se executa PHP, incluídas as copias dentro doutro software, actualiza, reinicia os traballadores e revisa os rexistros ata o 17 de outubro.

## Preguntas e respostas

### Cales son as dúas vulnerabilidades de PHP2Shell?

PHP2Shell nomea dúas fallas críticas de PHP, CVE-2026-109618 e CVE-2026-109619, ambas valoradas en 9.2 polo equipo de PHP. A primeira deixa unha solicitude medio construída cando PHP se queda sen memoria no momento equivocado, e a limpeza confía nela. A segunda deixa un punteiro á memoria dunha solicitude que unha solicitude posterior no mesmo traballador pode usar. Ambas poden levar á execución de código sen inicio de sesión.

### Que versións de PHP teñen unha corrección para PHP2Shell, e que pasa coas versións non soportadas?

O proxecto PHP lanzou correccións en 8.2.35, 8.3.36, 8.4.27 e 8.5.12 o 21 de outubro. Para 7.4, 8.0 e 8.1 só publicou parches de orixe, e BleepingComputer informa que as distribucións e os provedores de soporte a longo prazo poden fornecer correccións retroportadas. PHP di que non hai unha solución completa, polo que actualizar ou pedir a un provedor un paquete parcheado é a única opción segura.

### Por que un erro de memoria de PHP coñecido tardou ata outubro de 2026 en corrixirse?

A Fundación PHP di que un desenvolvedor principal atopou os primeiros sinais do problema de memoria durante unha auditoría de seguridade de 2024, pero non se coñecía ningunha ruta de explotación e cada corrección candidata tiña compromisos como roturas de compatibilidade. O equipo de seguridade decide por consenso e tivo dificultades para elixir, o que a Fundación chama un fallo estrutural causado polo seu proceso de decisión e a falta de recursos.

### Estase explotando PHP2Shell, e que tan fácil é explotalo?

As fontes discrepan. Amazon rexistrou un intento de explotación o 17 de outubro e despois dixo que PHP2Shell foi amplamente explotado, e watchTowr informou da explotación na natureza. CISA non observara explotación na publicación, e o equipo de PHP non viu ningunha explotación funcional no lanzamento. watchTowr di que a maioría dos scripts de explotación públicos fallan ou non fan nada, e VulnCheck descubriu que a execución de código só funciona nalgunhas configuracións.

### Cal foi o veredicto de The Daily Diff sobre PHP2Shell?

O veredicto de The Daily Diff foi SHIP IT: envía a actualización de PHP esta noite, porque a nova versión é a única corrección completa. CISA di que se inventaríe cada sistema que execute PHP, incluídas as copias dentro doutro software, se aplique o parche e se desconecten os sistemas PHP se non se poden actualizar. Amazon aconsella revisar os rexistros ata o 17 de outubro, cando viu o primeiro intento.

## Capítulos

- 0:00 Quen probou PHP2Shell catro días antes?
- 0:41 Cales son os dous erros de PHP2Shell?
- 1:37 Por que un erro coñecido esperou dous anos?
- 1:54 Quen atopou PHP2Shell e como?
- 2:20 Como se filtrou o embargo de PHP2Shell?
- 2:50 Estase explotando PHP2Shell, e por quen?
- 3:43 Que sacaron os gobernos da rede?
- 4:11 Que versións de PHP reciben unha corrección?
- 4:30 Que facer con PHP2Shell esta noite?
- 4:45 Que máis lanzou un parche RCE crítico hoxe?
- 5:01 Por que se lle ordenou a Meta pagar 25 mil millóns de dólares?
- 5:18 Cal é a defensa de Chainguard para a corrección anticipada?
- 5:38 Que recibe o selo SHIP IT?

## Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

### Quen probou PHP2Shell catro días antes?

0:00 Un embargo de seguridade supostamente mantén un erro en silencio ata que se lanza o parche. Amazon rexistrou un intento contra o erro crítico de PHP catro días antes. Neste vídeo, quen o atopou? Como se filtrou o embargo? E que tan grave é, realmente? E a empresa culpada da fuga ten unha defensa que non esperaba. Xa che digo. É xoves, 22 de outubro, e isto é The Daily Diff.

0:21 PHP é unha linguaxe de scripting que constrúe páxinas web no servidor xusto antes de que che cheguen. Ten máis de trinta anos e, segundo unha estimación, execútase en aproximadamente o setenta por cento dos sitios web, incluíndo WordPress e o software detrás de Wikipedia. Os desenvolvedores adoran burlarse del, normalmente desde unha páxina que PHP lles está servindo. O seu mantemento é unha organización sen ánimo de lucro con uns trece enxeñeiros.

### Cales son os dous erros de PHP2Shell?

0:41 O mércores, PHP lanzou correccións de emerxencia para dúas fallas críticas que permiten a un descoñecido executar código nun servidor sen inicio de sesión. Xuntos chámanse PHP2Shell, e remóntanse a PHP cinco punto catro. Aquí está o primeiro erro en palabras sinxelas. PHP asigna un orzamento de memoria a cada solicitude. Se unha solicitude alcanza ese límite xusto no momento equivocado, PHP sae apresuradamente e deixa a solicitude medio construída. Entón, o paso de limpeza confía na cousa medio construída.

1:07 O segundo erro é un resto. Un erro fatal pode deixar unha nota que apunta á memoria que pertencía á última solicitude. O mesmo traballador manexa a seguinte solicitude e segue a nota. Nese momento alguén máis vive nesa dirección. En Apache con mod PHP, o dano ocorre antes de que se execute o seu propio código, polo que a súa páxina de inicio de sesión nunca ten voz nin voto. Wiz di que incluso un script de "Ola mundo" está exposto. A corrección elimina a saída de emerxencia de PHP por quedar sen memoria.

1:32 En lugar de saír no medio da solicitude, PHP agora detense educadamente no seguinte punto seguro. O estraño é o vella que é a primeira pista.

### Por que un erro coñecido esperou dous anos?

1:39 En 2024, unha auditoría de seguridade externa levou a un desenvolvedor principal de PHP aos primeiros sinais do problema de memoria. Non se coñecía ningunha explotación, e cada corrección rompía algo. Un equipo que decide por consenso non puido elixir, polo que o erro esperou. Entón, en agosto, os descubridores chegaron en cuestión de días.

### Quen atopou PHP2Shell e como?

1:56 O investigador de Calif Ryan Austin atopouno o primeiro de agosto, traballando a través do programa Patch the Planet de OpenAI. OpenAI informou da mesma causa raíz de forma independente. Wiz atopou variantes unhas semanas despois con modelos Gemini e GPT. Austin di que usou modelos que calquera pode conseguir, máis unha teoría sobre onde se esconden os antigos erros de PHP. OpenAI di que a IA de vangarda foi a clave. O erro estivera escondido durante máis dunha década. O lanzamento estaba previsto para o xoves.

### Como se filtrou o embargo de PHP2Shell?

2:21 O martes, os dous números de CVE comezaron a circular en liña, cunha hora de lanzamento incorrecta e unha puntuación incorrecta de dez. PHP adiantou o lanzamento un día. Esa noite, Calif publicou accidentalmente un vídeo do seu proba de concepto funcionando, e as copias sobreviviron á eliminación. O mércores pola mañá, máis de seis horas antes do lanzamento, Chainguard publicou imaxes construídas que contiñan a corrección. PHP di que calquera atacante podería estudar esa corrección mentres todos os demais esperaban.

2:46 Un parche tamén é un diff, e os atacantes len os diffs.

### Estase explotando PHP2Shell, e por quen?

2:50 Entón, a quen se está atacando realmente? A "honeypot" de Amazon rexistrou un intento o 17 de outubro e despois dixo que PHP2Shell está amplamente explotado. watchTowr informa de explotación na natureza. Cisa dixo que non observara ningunha cando o publicou, e o equipo de PHP non viu ningunha explotación funcional no lanzamento. O CEO de Cloudflare dixo que viu miles de intentos nas dez horas anteriores ao anuncio, e millóns ata o xoves pola mañá.

3:13 Amazon é coidadoso nun punto. Non sabe se os seus primeiros intentos funcionarían nun sistema real. Un intento é só un golpe na porta. Entón, que tan grave é, realmente? watchTowr di que a maioría dos exploits públicos que circulan fallan ou non fan nada. VulnCheck di que a execución de código funciona nalgunhas configuracións, e ningún dos públicos supera a aleatorización de memoria nos servidores x86 estándar. O investigador Elias Taylor di que non é nin de lonxe tan fácil como Log4Shell.

3:40 Todo o mundo segue dicindo "parchear". Os gobernos non esperaron o veredicto.

### Que sacaron os gobernos da rede?

3:44 A NSA díxolles ás organizacións que non podían parchear que desconectaran os sistemas PHP, e o Centro Nacional de Ciberseguridade do Reino Unido deu consellos similares. Sitios holandeses, incluído o servizo nacional de identidade dixital, quedaron inactivos, xunto cun sitio da policía de París. Wikimedia desactivou varios sistemas como precaución. Palo Alto Networks contabilizou máis de vinte e dous millóns de instancias expostas. E un profesor australiano fixo o punto máis agudo. Os sitios dos que preocuparse son os que non están caídos hoxe.

### Que versións de PHP reciben unha corrección?

4:11 Existen correccións para PHP oito punto dous ata oito punto cinco. Para sete punto catro, oito punto cero e oito punto un, PHP publicou só parches de orixe. As versións máis antigas non reciben nada do proxecto PHP, así que pregunta á túa distribución. As solucións provisionais reducen as probabilidades, pero PHP di que a actualización é a única solución completa. É a mesma lección que o episodio de onte de eMudhra,

### Que facer con PHP2Shell esta noite?

4:32 porque unha corrección existente non é o mesmo que o proceso en execución téñaa. Busca todos os PHP na túa pila, incluso as copias que se esconden dentro doutro software. Actualiza, reinicia os traballadores e revisa os rexistros ata o 17 de outubro. O mesmo día, GitLab lanzou un parche crítico,

### Que máis lanzou un parche RCE crítico hoxe?

4:47 dez e nove punto cinco punto un. Un desbordamento de enteiros no seu compilador de expresións regulares permite a un usuario non autenticado executar código no servidor, e puntúa dez sobre dez. GitLab.com xa está parcheado. As instalacións autoxestionadas necesitan a actualización.

### Por que se lle ordenou a Meta pagar 25 mil millóns de dólares?

5:01 Mentres tanto en Novo México, un xuíz ordenou a Meta pagar vinte e cinco mil millóns de dólares en multas por Cambridge Analytica. O xurado contabilizou máis de corenta e tres millóns de infraccións de ata cinco mil dólares cada unha, o que sumaba uns douscentos vinte mil millóns antes de que o xuíz o recortara. Meta di que gañará na apelación. Agora a defensa que prometín.

### Cal é a defensa de Chainguard para a corrección anticipada?

5:19 O CEO de Chainguard díxolle a The Register que atopou os mesmos erros el mesmo un venres á noite, despois de saber que algo viría en PHP, cunha indicación básica para atopar vulnerabilidades malas. Di que lanzou cedo porque a xente xa estaba sendo afectada. Se prefires ler isto que escoitarmo dicir, o "diff" chega á túa caixa de entrada cada mañá, de balde en thedailydiff.dev, ligazón a continuación. Así que o veredicto de hoxe é SHIP IT.

### Que recibe o selo SHIP IT?

5:39 Envía a actualización de PHP esta noite, porque o novo número de versión é a única corrección completa. E iso é o "diff" de hoxe. Son Niko de Axrisi. Fusiona con responsabilidade.

## Fontes

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News