PHP2Shell: dos fallos críticos en PHP y qué debe hacer tu pyme ahora

Qué pasó con PHP2Shell

Docker comenzó a rastrear dos vulnerabilidades críticas en PHP identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas en conjunto como PHP2Shell. El problema no está en los sistemas de Docker, sino en el propio núcleo de PHP, y afecta a paquetes desde la versión 5.4 en adelante, incluyendo las versiones soportadas 8.2 a 8.5 y las ya obsoletas 5.x, 7.x, 8.0 y 8.1.

El equipo de PHP publicó parches en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y recomendó actualizar de inmediato. Docker, por su parte, actualizó sus imágenes oficiales y sus imágenes endurecidas (Docker Hardened Images) en Docker Hub para que quienes construyen sobre PHP puedan migrar rápido.

Por qué estas fallas importan más de lo que parece

Ambas vulnerabilidades permiten ejecución remota de código en el núcleo de PHP. En términos simples: un atacante podría llegar a ejecutar instrucciones en el servidor sin necesidad de credenciales válidas. Ese es uno de los escenarios más graves que puede enfrentar una aplicación web.

El origen técnico está en cómo PHP gestiona la memoria durante una petición. En un caso, cuando el proceso se queda sin memoria a mitad de una solicitud, ciertas rutas de código dejan memoria sin inicializar y la limpieza posterior la lee. En el otro, el estado interno puede seguir apuntando a memoria ya liberada, y una petición posterior reutiliza ese estado obsoleto. Los atacantes tienen varias formas de provocar cualquiera de las dos condiciones.

Lo relevante para una pyme es que no hace falta ser un blanco estratégico. Cualquier sitio, tienda o panel interno construido sobre una versión afectada queda expuesto si es alcanzable desde internet. La ventana entre la divulgación de un fallo crítico y los primeros intentos de explotación suele medirse en horas, no en semanas.

Qué implica para una pyme que corre PHP

Muchas pymes hispanohablantes tienen PHP en su stack sin saberlo del todo: un CMS, un plugin de e-commerce, una API interna heredada, un script de facturación. El lenguaje está detrás de una parte enorme del ecosistema web, y eso hace que estas alertas tengan un alcance transversal.

La indicación de los expertos, incluida la propia Docker y agencias de seguridad, es contundente: actualizar es la única mitigación completa. No existe una configuración mágica ni un parche alternativo que cubra todas las variantes. Si por alguna razón no se puede actualizar de inmediato, la recomendación es sacar el sistema de línea hasta poder hacerlo.

Para quienes usan imágenes de Docker, el mensaje también es claro. Las imágenes oficiales ya fueron actualizadas y replicadas, y las imágenes endurecidas se publicaron con las versiones corregidas en menos de 24 horas desde que los parches estuvieron disponibles. Eso significa que la actualización está al alcance, pero requiere que alguien la ejecute.

Una lectura práctica: qué revisar esta semana

El primer paso es saber qué versión de PHP corre tu infraestructura. No alcanza con la versión del lenguaje en el servidor: hay que revisar también las imágenes base, los contenedores y cualquier dependencia empaquetada.

• Inventariá todos los entornos donde hay PHP: producción, staging, herramientas internas y sitios olvidados.
• Verificá versiones y contrastá contra 8.2.35, 8.3.36, 8.4.27 y 8.5.12, o cualquier release posterior de la misma rama.
• Actualizá imágenes de Docker Official Images y Docker Hardened Images, y reconstruí los contenedores propios que partan de ellas.
• Revisá dependencias que traigan PHP embebido o binarios precompilados, porque no siempre aparecen en el manifiesto principal.
• Documentá el cambio y dejá un procedimiento repetible para la próxima alerta crítica.

Este episodio deja una lección de fondo: la seguridad de una pyme no depende solo de su código, sino de la cadena de componentes que usa. Tener un inventario actualizado y un proceso ágil de actualización vale más que cualquier herramienta aislada.

Si tu equipo no tiene claridad sobre qué versiones corre o cómo actualizar sin romper producción, en Altya podemos ayudarte a revisar tu infraestructura y dejar un plan de mantenimiento y parcheo que evite sustos como este.

Fuente: www.docker.com