PHP2Shell: ya están disponibles los paquetes de PHP parcheados para grommunio

Ya están disponibles los paquetes PHP actualizados que mitigan las vulnerabilidades críticas PHP2Shell, tanto en la comunidad grommunio como en los repositorios con soporte técnico. Recomendamos encarecidamente que protejas tus sistemas ahora mismo.

¿Qué es PHP2Shell?

PHP2Shell es el nombre que se le ha dado a dos vulnerabilidades críticas en el propio entorno de ejecución de PHP, CVE-2026-109618(opens in a new tab) y CVE-2026-109619, cada una con una puntuación CVSS de 9,2. Estas vulnerabilidades pueden permitir que un atacante no autenticado ejecute código de forma remota con una sola solicitud, antes de que se ejecute cualquier código de la aplicación. Esto significa que un servidor puede quedar expuesto incluso cuando las aplicaciones PHP que aloja sean perfectamente seguras.

• CVE-2026-109618: una asignación interrumpida por un error de falta de memoria puede dejar los datos de la solicitud parcialmente inicializados, y la limpieza de la solicitud podría entonces tratar esos datos no válidos como válidos.
• CVE-2026-109619: el estado interno propio de una solicitud puede sobrevivir a la memoria a la que apunta, por lo que una solicitud posterior en el mismo trabajador podría utilizarlo antes de que se restablezca.

Todas las instalaciones de PHP que atienden solicitudes web se ven afectadas, incluido PHP-FPM, que utiliza grommunio. Los detalles de las vulnerabilidades se filtraron antes de la fecha de divulgación coordinada, y los investigadores de seguridad ya han informado de intentos de explotación en el mundo real. El equipo de desarrollo de PHP ha publicado versiones corregidas (8.5.12, 8.4.27, 8.3.36 y 8.2.35) y afirma que actualizar es la única opción segura, ya que las soluciones provisionales disponibles solo cierran algunas vías de ataque.

Más información: Help Net Security, The Hacker News, SecurityWeek y las preguntas frecuentes de watchTower.

Cómo actualizar

La actualización solo requiere unos pocos comandos:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

En lugar de zypper ref y zypper up, también puedes utilizar el actualizador web de grommunio Admin o ejecutar grommunio-update en la línea de comandos. En cualquier caso, reinicia php-fpm después: así te aseguras de que todos los trabajadores ejecuten el binario de PHP parcheado.

Nuestras pruebas automatizadas y un gran número de comprobaciones de validación manuales no han revelado ningún efecto secundario. Dicho esto, en esta fase inicial nadie puede garantizar que no haya ninguno. Todas nuestras pruebas han dado resultado satisfactorio y las medidas de mitigación han demostrado su eficacia en todas nuestras configuraciones de laboratorio.

Extra: una interfaz web más rápida con OPcache

Desde hace ya algún tiempo, también es posible instalar php8-opcache con grommunio. OPcache mantiene el código PHP precompilado en memoria, lo que hace que grommunio Web sea notablemente más rápido. Por eso se ha incluido más arriba el comando zypper in php8-opcache. Si ya lo tienes instalado, zypper simplemente se salta este paso.

Paquetes fuera de banda, adelantados a las actualizaciones oficiales de SUSE

Estos paquetes son actualizaciones fuera de banda que hemos compilado y proporcionamos nosotros mismos, al margen de los paquetes oficiales suministrados por SUSE. Gracias a nuestra infraestructura de compilación y nuestro proceso de pruebas, hemos podido lanzarlos antes de que estuvieran disponibles las actualizaciones oficiales de mantenimiento de SUSE. Estamos orgullosos de ello y agradecemos a nuestro equipo la rapidez con la que han actuado.

Tan pronto como SUSE publique sus propios paquetes PHP corregidos, eliminaremos nuestros paquetes provisionales de los repositorios grommunio para que los paquetes proporcionados por SUSE vuelvan a tener prioridad. Dado que los paquetes de tu sistema procederán entonces de un proveedor diferente (y es posible que tengan un número de versión inferior), zypper no volverá a cambiar automáticamente. Cuando llegue ese momento, tendrás que autorizar el cambio de proveedor de forma explícita, por ejemplo:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Anunciaremos cuándo hay que realizar ese paso, junto con las instrucciones exactas.

¿No utilizas grommunio en SUSE?

En Debian, Ubuntu y otras distribuciones, PHP procede de tu distribución. Instala las actualizaciones de seguridad de PHP proporcionadas por tu distribución y, a continuación, reinicia php-fpm.

¿Tienes alguna pregunta?

Próximamente habrá más información. Los debates y las últimas actualizaciones se encuentran en nuestra comunidad. Los clientes con suscripción pueden ponerse en contacto directamente con el servicio de asistencia de grommunio.