Qué ha cambiado
PHP2Shell, nombre utilizado para referirse a CVE-2026-109618 y CVE-2026-109619, ha pasado de ser una vulnerabilidad crítica con parche disponible a una prioridad de respuesta por la explotación observada. CISA incorporó ambos CVE al catálogo KEV el 26 de octubre. Unit 42 actualizó su aviso el 29 de octubre para informar de ataques contra interfaces de gestión de PAN-OS expuestas a Internet en los que los atacantes encadenaron PHP2Shell con una vulnerabilidad de escalada de privilegios del kernel de Linux.
La actualización no significa que todas las instalaciones de PHP estén comprometidas. Sí cambia la pregunta operativa: ya no basta con registrar la actualización en la próxima ventana normal. Hay que identificar qué servidores procesan peticiones desde redes no confiables, qué versión ejecutan realmente y si alguna interfaz de gestión ha quedado expuesta.
Dos fallos distintos, una misma urgencia
CVE-2026-109618 afecta a la gestión de errores de falta de memoria. En ciertas rutas, una interrupción puede dejar datos internos de la petición parcialmente inicializados y hacer que el proceso de limpieza los trate como válidos. CVE-2026-109619 se relaciona con estado global obsoleto: una referencia puede sobrevivir después de liberar la memoria que respaldaba ese estado y reutilizarse durante una petición posterior.
Ambos problemas pueden conducir a ejecución remota de código sin autenticación, pero no son el mismo defecto ni requieren el mismo camino de entrada. Explicar el mecanismo ayuda a entender por qué los límites de tamaño o la configuración de una función concreta solo reducen algunas rutas. No hay que convertir esta alerta en una receta de explotación: la decisión correcta es actualizar y revisar la exposición.