PHP2Shell: resolución en los servidores de HWPerú
Entre el 21 y el 22 de octubre de 2026 instalamos la versión corregida de PHP, tanto ea-php como alt-php, en todos nuestros servidores de hosting compartido, sin cortes. Qué actualizamos, cómo lo verificamos y cómo quedó.
Este es el cierre técnico de PHP2Shell (CVE-2026-109618 y CVE-2026-109619): qué aplicamos en nuestros servidores de hosting, cómo lo comprobamos y qué queda pendiente.
Resumen
- El 21 de octubre de 2026, entre las 16:32 y las 16:58 (hora de Perú), instalamos la versión corregida de las versiones de PHP de cPanel (ea-php) en todos nuestros servidores de hosting compartido, una hora después de que CloudLinux la publicara.
- La actualización se hizo con reinicio elegante del servidor web: sin cortes en las webs.
- El 22 de octubre, entre las 02:46 y las 03:13, instalamos también la corrección de las versiones alt-php de CloudLinux, en cuanto estuvo disponible para nuestros servidores. Mientras tanto tuvieron activa la mitigación oficial recomendada por PHP.
- Resultado: todas las versiones de PHP que usan las webs de nuestros servidores de hosting están corregidas.
Qué actualizamos
Versiones de PHP de cPanel (las que aparecen como ea-php en MultiPHP), con la compilación corregida que quedó instalada:
| PHP (ea-php) | Compilación corregida instalada |
|---|---|
| 8.4 | 8.4.26-2.el9.cloudlinux.1 |
| 8.3 | 8.3.35-2.el9.cloudlinux.2 |
| 8.2 | 8.2.34-2.el9.cloudlinux.1 |
| 8.1 | 8.1.34-4.el9.cloudlinux.1 |
| 8.0 | 8.0.30-11.el9.cloudlinux.1 |
| 7.4 | 7.4.33-18.el9.cloudlinux.13 |
| 7.3 / 7.2 | 7.3.33-15.el9.cloudlinux.18 / 7.2.34-12.el9.cloudlinux.18 |
Versiones alt-php de CloudLinux (las que aparecen como alt-php en MultiPHP o se eligen en Seleccionar versión de PHP):
| PHP (alt-php) | Compilación corregida instalada |
|---|---|
| 8.4 | 8.4.26-5.el9 |
| 8.3 | 8.3.35-6.el9 |
| 8.2 | 8.2.34-7.el9 |
| 8.1 | 8.1.34-39.el9 |
| 8.0 | 8.0.30-69.el9 |
| 7.4 | 7.4.33-81.el9 |
| 7.0 a 7.3 | 7.0.33-148 / 7.1.33-114 / 7.2.34-97 / 7.3.33-82 |
CloudLinux corrige sobre la misma versión de PHP, por eso el número (8.4.26, 8.3.35…) no cambia en cPanel: lo que cambia es la compilación.
Cómo lo verificamos
- El registro de cambios oficial de cada paquete instalado cita expresamente CVE-2026-109618 y CVE-2026-109619 y la corrección del gestor de memoria de PHP.
- Comprobamos que las cuentas, aisladas con CageFS, usan el binario nuevo de PHP.
- Revisamos una muestra de webs de cada servidor antes y después de actualizar: todas respondieron con normalidad.
Estado final
Todas las versiones de PHP que usan las webs de nuestros servidores de hosting están corregidas, tanto ea-php como alt-php. Además mantenemos activa la mitigación oficial (session.upload_progress.enabled = Off) como capa adicional de protección. Las antiguas ramas alt-php 5.x, que no usa ninguna web de nuestros servidores, se actualizarán en cuanto CloudLinux termine de distribuirlas.
Preguntas frecuentes
¿Tengo que hacer algo?
Si tu web está en nuestro hosting compartido o revendedor, no: las actualizaciones pendientes también las aplicamos nosotros. Si administras tu propio VPS o servidor dedicado, sí: revisa las recomendaciones de la entrada informativa.
¿Por qué mi cPanel sigue mostrando la misma versión de PHP?
Porque CloudLinux aplica la corrección como una nueva compilación de la misma versión: el número no cambia aunque el PHP ya esté corregido.
¿Hubo cortes en mi web?
No. El servidor web se reinició de forma elegante: las conexiones en curso terminaron con normalidad.
¿Mi web fue atacada?
Según los reportes públicos que cita CloudLinux (Huntress y watchTowr), en la mañana del 21 de octubre no se registraban ataques reales con esta vulnerabilidad. Si notas algo extraño en tu web, como usuarios administradores que no reconoces o archivos nuevos, abre un ticket y lo revisamos.
Uso PHP 7.x, 8.0 u 8.1, ¿estoy protegido?
Sí: CloudLinux también corrigió esas ramas, tanto en ea-php como en alt-php, y ya las instalamos. Aun así te recomendamos pasar a PHP 8.3 o 8.4, porque esas ramas ya no reciben mantenimiento oficial de PHP.
Cronología (hora de Perú)
- 20-10-2026: PHP anuncia una actualización de seguridad para el día siguiente.
- 21-10-2026, 09:00: PHP publica 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- 21-10-2026, 15:55: CloudLinux publica sus paquetes corregidos para cPanel.
- 21-10-2026, 16:32–16:58: HWPerú instala y verifica la corrección de ea-php en todos sus servidores de hosting compartido.
- 21-10-2026, 16:59: mitigación activa en las versiones alt-php, pendientes de corrección por CloudLinux.
- 22-10-2026, 02:46–03:13: HWPerú instala y verifica la corrección de alt-php en todos sus servidores de hosting compartido.
Fuentes: aviso oficial de PHP y estado del incidente en CloudLinux.