CVE-2026-109619 Ejecución remota de código por estado global obsoleto en PHP

Qué es CVE-2026-109619

PHP mantiene estado global que apunta temporalmente a memoria de la petición y que en algunos escenarios no se restablece correctamente o se repuebla después de restablecerse. Ese estado puede seguir refiriéndose a memoria de la petición ya liberada, y peticiones posteriores pueden leerlo o ramificar sobre él antes de inicializarse por completo. Existen varias estrategias para desencadenar esta condición y lograr ejecución remota de código.

Productos y versiones afectadas

• PHP Group PHP

  • desde 8.2.* hasta antes de 8.2.35
  • desde 8.3.* hasta antes de 8.3.36
  • desde 8.4.* hasta antes de 8.4.27
  • desde 8.5.* hasta antes de 8.5.12

Qué hacer

1. Verificá si usás PHP y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• Unkn0vv/php2shell ↗PHP2Shell Censys Query (CVE-2026-109618 / CVE-2026-109619 )PUBLICADO 21 OCT · 04:42
• yetDevs/php2shell-triage ↗PHP estate triage for CVE-2026-109618 / CVE-2026-109619: inventory, Plesk audit, child-process detection. No exploit code.PUBLICADO 21 OCT · 10:59
• 0xrsydn/php2shell-scan ↗Reachability + change detector for the php2shell PHP RCEs (CVE-2026-109618 / CVE-2026-109619). Agent-ready, stdlib only, read-only by default.PUBLICADO 21 OCT · 10:59
• FacundoGimenez/php2shell-mitigation ↗Interim mitigations, exposure checks and detection helpers for php2shell (CVE-2026-109618 / CVE-2026-109619)PUBLICADO 21 OCT · 10:59
• edgarbaldemarmx/php2shell-remediation ↗Emergency mitigation for php2shell (CVE-2026-109618 / CVE-2026-109619): disables session.upload_progress on shared hosting (DreamHost, cPanel) at fleet scalePUBLICADO 21 OCT · 10:59
• cereZ23/php-up-2026 ↗PHP session.upload_progress UAF validation bundle (presumed CVE-2026-109618 / CVE-2026-109619) — authorized defensive-research use onlyPUBLICADO 21 OCT · 10:59
• ersinkoc/php-fix ↗One-line mitigation for php2shell (CVE-2026-109618 / CVE-2026-109619): disables session.upload_progress across all PHP installsPUBLICADO 21 OCT · 10:59
• meuhland/php-legacy-windows-builds ↗Patches and Windows build scripts for PHP 5.6-7.4 fixing CVE-2026-109618 / CVE-2026-109619PUBLICADO 22 OCT · 04:53
• danrod96-new/php-patch-check ↗Two small, read-only tools to confirm whether your PHP installations are patched against the critical RCE advisory published 2026-10-21 (CVE-2026-109618 / CVE-2026-109619)PUBLICADO 22 OCT · 04:53
• checkfoxe/php56-session-uaf-patch ↗PHP 5.6 security patch, backports, and mitigations for session.upload_progress Use-After-Free (CVE-2026-109618, CVE-2026-109619).PUBLICADO 22 OCT · 04:53
• spcaeo/php2shell-check ↗Is your site exposed to php2shell (CVE-2026-109618, CVE-2026-109619), the October 2026 PHP remote code execution flaws? A one-file, zero-dependency CLI and GitHub Action that reads what your site shows anyone, with…PUBLICADO 22 OCT · 04:53
• niemingxing/php73-php2shell-patch ↗Unofficial security patch for PHP 7.3 (EOL) fixing PHP2Shell RCE — CVE-2026-109618 & CVE-2026-109619. Backported from the official PHP 7.4 fix. PHP 7.3 漏洞修复补丁PUBLICADO 22 OCT · 04:53
• KByteITServices/php-vulnerability-checker-october-2026 ↗Check Linux servers and Docker containers for PHP versions affected by CVE-2026-109618 and CVE-2026-109619 (PHP2Shell). Includes a copy-and-paste Bash script.PUBLICADO 22 OCT · 04:53
• alanh0vx/php2shell-check ↗Quick vulnerability checker for CVE-2026-109618 & CVE-2026-109619 (PHP2Shell) — detection only, no exploitPUBLICADO 22 OCT · 04:53
• ThePainter1939/php2shell-guard ↗Fast, zero-dependency Bash toolkit to audit, scan logs, mitigate, and patch Linux servers against PHP2Shell (CVE-2026-109618 & CVE-2026-109619).PUBLICADO 22 OCT · 10:45
• ITlusions/ITL.PHP2Shell.Hardening ↗Compensating controls / virtual-patching Helm chart for PHP CVE-2026-109618 and CVE-2026-109619PUBLICADO 22 OCT · 10:45
• covertswarmlabs/PHP2Shell-Check ↗Non-invasive vulnerability assessment for CVE-2026-109618 and CVE-2026-109619.PUBLICADO 22 OCT · 10:45
• BenFerguson310/Cloudflare-PHP2shell-Detections ↗Log-only Cloudflare WAF rule to detect php2shell (CVE-2026-109618 / CVE-2026-109619) targetingPUBLICADO 22 OCT · 10:45
• maxprog-svg/PHP2Shell-CVE-2026-109618-CVE-2026-109619 ↗PHP2Shell — Exploit for CVE-2026-109618 / CVE-2026-109619PUBLICADO 22 OCT · 17:02
• swap18plus/php2shell_CVE-2026-109618-and-CVE-2026-109619 ↗Lightweight, non-intrusive asset scanner designed to audit public and perimeter network assets for vulnerable PHP versions susceptible to php2shell RCE vectors (CVE-2026-109618 / CVE-2026-109619).PUBLICADO 22 OCT · 22:53
• fellipgomes/br-php2shell ↗Descubra se sites da internet é vulnerável a php2shell CVE-2026-109619PUBLICADO 23 OCT · 16:53
• abraxas/php-stale-global-uaf ↗PHP 8.5.11 - Critical - Remote - UAF - CVE-2026-109619 PHP2Shell. Same-worker fatal backtrace then INI diagnostic on Apache mod_php. Lab vs 8.5.12. Advisory RCE inferred.PUBLICADO 24 OCT · 10:53

Calculadora CVSS

CVSS 4.0 · 9.2 CRÍTICA

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).

Referencias

• github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rpVENDOR-ADVISORY
• www.wiz.io/blog/php2shell-php-rceTHIRD-PARTY-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/21/7
• www.openwall.com/lists/oss-security/2026/10/21/16
• www.openwall.com/lists/oss-security/2026/10/21/17
• www.openwall.com/lists/oss-security/2026/10/21/23
• www.openwall.com/lists/oss-security/2026/10/22/2
• www.openwall.com/lists/oss-security/2026/10/22/14
• www.openwall.com/lists/oss-security/2026/10/22/15
• www.openwall.com/lists/oss-security/2026/10/22/16
• www.openwall.com/lists/oss-security/2026/10/22/19
• www.openwall.com/lists/oss-security/2026/10/22/20
• www.openwall.com/lists/oss-security/2026/10/23/4
• cert-portal.siemens.com/productcert/html/ssa-566512.html

Historial de la alerta

1. 21 OCT · 04:42EXPLOIT PÚBLICO Se publicó el repositorio Unkn0vv/php2shell.
2. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio yetDevs/php2shell-triage.
3. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio 0xrsydn/php2shell-scan.
4. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio FacundoGimenez/php2shell-mitigation.
5. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio edgarbaldemarmx/php2shell-remediation.
6. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio cereZ23/php-up-2026.
7. 21 OCT · 10:59EXPLOIT PÚBLICO Se publicó el repositorio ersinkoc/php-fix.
8. 21 OCT · 13:05VULNERABILIDAD Nueva vulnerabilidad detectada.
9. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio meuhland/php-legacy-windows-builds.
10. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio danrod96-new/php-patch-check.
11. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio checkfoxe/php56-session-uaf-patch.
12. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio spcaeo/php2shell-check.
13. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio niemingxing/php73-php2shell-patch.
14. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio KByteITServices/php-vulnerability-checker-october-2026.
15. 22 OCT · 04:53EXPLOIT PÚBLICO Se publicó el repositorio alanh0vx/php2shell-check.
16. 22 OCT · 10:45EXPLOIT PÚBLICO Se publicó el repositorio ThePainter1939/php2shell-guard.
17. 22 OCT · 10:45EXPLOIT PÚBLICO Se publicó el repositorio ITlusions/ITL.PHP2Shell.Hardening.
18. 22 OCT · 10:45EXPLOIT PÚBLICO Se publicó el repositorio covertswarmlabs/PHP2Shell-Check.
19. 22 OCT · 10:45EXPLOIT PÚBLICO Se publicó el repositorio BenFerguson310/Cloudflare-PHP2shell-Detections.
20. 22 OCT · 17:02EXPLOIT PÚBLICO Se publicó el repositorio maxprog-svg/PHP2Shell-CVE-2026-109618-CVE-2026-109619.
21. 22 OCT · 22:53EXPLOIT PÚBLICO Se publicó el repositorio swap18plus/php2shell_CVE-2026-109618-and-CVE-2026-109619.
22. 23 OCT · 16:53EXPLOIT PÚBLICO Se publicó el repositorio fellipgomes/br-php2shell.
23. 24 OCT · 10:53EXPLOIT PÚBLICO Se publicó el repositorio abraxas/php-stale-global-uaf.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.