PARCHE DE SEGURIDAD PHP2SHELL
Medidas temporales por FTP frente a CVE-2026-109618 y CVE-2026-109619
Ueyia · https://seomaya.ueyia.com
=====================================================================

QUÉ ES EL FALLO
En octubre de 2026 se publicaron dos fallos críticos en PHP (conocidos como
"PHP2Shell") que permiten a un atacante, sin usuario ni contraseña, ejecutar
código en el servidor. Afectan a PHP desde la 5.4 hasta la 8.5.

Versiones corregidas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
LA ÚNICA SOLUCIÓN COMPLETA ES ACTUALIZAR PHP. Pídeselo a tu hosting.


QUÉ HACE ESTE PROGRAMA
Mientras el hosting actualiza, aplica por FTP las medidas temporales que
recomienda el equipo de PHP, que reducen el riesgo:

  - session.upload_progress.enabled = 0   (fallo CVE-2026-109619)
  - memory_limit = -1                     (fallo CVE-2026-109618, opcional)
  - fatal_error_backtraces = 0            (solo en PHP 8.5)

Para cada web:
  1. Entra por FTP o FTPS y localiza la carpeta de la web.
  2. Detecta si es WordPress o una web a medida.
  3. Sube un instante un fichero de comprobación (nombre y clave aleatorios)
     para leer la versión de PHP y cómo funciona, y lo borra.
  4. Si PHP ya está corregido, no toca nada.
  5. Si no, escribe las medidas en .user.ini o .htaccess según el servidor,
     guardando antes una copia del original en la carpeta "copias".
  6. Comprueba que las medidas se han aplicado y que la web sigue cargando.
     Si la web da error, deja el fichero como estaba.

El botón "Deshacer" quita las medidas cuando PHP ya esté actualizado.


CÓMO SE USA
  1. Abre "Escudo PHP2Shell.exe".
  2. Escribe la dirección de la web y los datos del FTP.
  3. Pulsa primero "Comprobar" (no modifica nada).
  4. Si sale vulnerable, pulsa "Aplicar medidas".

La contraseña solo se usa para conectar: no se guarda en ningún sitio.


AVISOS
  - Esto NO sustituye a actualizar PHP: reduce el riesgo, no lo elimina.
  - No todos los hostings permiten estos ajustes; el programa lo detecta y
    te lo dice.
  - Quitar el límite de memoria tiene un coste: si un script se descontrola
    puede consumir mucha memoria. En un servidor propio (VPS) con varias webs,
    desmarca esa casilla.
  - Úsalo solo en webs que sean tuyas o que gestiones con permiso.
  - Windows puede avisar de que es un programa desconocido: pulsa
    "Más información" y "Ejecutar de todas formas".
  - Se ofrece tal cual, sin garantías. Revisa siempre el resultado.


CONTENIDO DEL ZIP
  Escudo PHP2Shell.exe   el programa (no necesita instalar nada)
  escudo_php2shell.py    el código fuente, para quien quiera revisarlo
  LEEME.txt              este fichero
  SHA256.txt             huella del .exe, para comprobar que no se ha alterado


¿NECESITAS AYUDA?
Posicionamiento con IA · Mantenimiento de webs · Seguridad
https://seomaya.ueyia.com
