Elio Rojano ☀️

Ayer fue el apocalipsis zombiePHP. Todos tenemos claro que usar versiones antiguas de PHP es un error, pero a veces toca administrar un entorno con un PHP viejo, que con toda diligencia parcheaste ayer (gracias a sury/ondrej). El tema es que hoy están llegando avisos automáticos (NCSC, Netcraft y otros escáneres) que marcan como vulnerables a PHP2Shell (CVE-2026-109618 y CVE-2026-109619) webs cuyos servidores ya están parcheados. Y unas veces te llegan a tí y otras a los clientes, que empiezan a preguntarte "¿pero esto no estaba ya parcheado?". 🔎 Qué está pasando Los escáneres solo leen el número de versión que anuncia el servidor. Cualquier versión anterior a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 la marcan como vulnerable. Las ramas sin soporte (7.4, 8.0 y 8.1) no tienen versión nueva. PHP publicó los parches de código, y quien los aplica (Plesk, distribuciones, proveedores cloud) mantiene el mismo número de versión. Caso real: un servidor nuestro con PHP 8.1.34 compilado por Plesk el 21 de octubre. Parcheado, pero anuncia “8.1.34”, así que el escáner lo marca. Mismo número, distinto binario. ✅ Cómo comprobar el tuyo No mires la versión, mira la fecha de compilación: php -i | grep “Build Date” Y contrástala con el aviso de tu proveedor. En Plesk, las versiones 7.4.33, 8.0.30 y 8.1.34 compiladas el 21 de octubre de 2026 o después ya incluyen la corrección. Bonus Con expose_php = Off PHP deja de anunciar su versión en las cabeceras. No arregla nada, pero te ahorra sustos con los escaneos masivos. ⚠️ Y no te relajes Si te llega un aviso, verifícalo siempre. Un falso positivo no es lo mismo que estar a salvo sin comprobarlo. Que hayas sobrevivido a este apocalipsis no significa que sobrevivas al siguiente. Esa migración a PHP 8.2 o superior sigue pendiente. 🧟‍♂️

Lo de que estemos en medio del apocalipsis y los del @INCIBE estén de chill con sus ferias y sus movidas es para hacérselo mirar...