Ayer el problema era actualizar PHP en tus servidores web. Hoy, jueves 22 de octubre de 2026, el problema es otro: los equipos que traen PHP por dentro y que tú no puedes actualizar. Palo Alto Networks confirmó que sus firewalls con PAN-OS y su consola Panorama son vulnerables a PHP2Shell, y todavía no hay versión corregida.
Si te perdiste el inicio, el resumen está en nuestra nota de ayer sobre las fallas CVE-2026-109618 y CVE-2026-109619 en PHP: dos errores que permiten ejecutar código en un servidor sin usuario ni contraseña, corregidos el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Lo que cambió en 24 horas
| Hecho | Fuente y fecha |
|---|---|
| PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2 (todas las compilaciones) y Panorama, afectados y sin versión corregida ("ETA: TBD") | Aviso CVE-2026-109618 de Palo Alto, 21 oct 2026 |
| La parte vulnerable es la consola web de administración y la API XML; GlobalProtect y el portal cautivo no están afectados | Mismo aviso |
| Amazon registró en su red de señuelos (MadPot) un intento de explotación el 17 de octubre, cuatro días antes de la divulgación | Help Net Security, actualización del 22 oct, 1:17 a. m. hora del este de EE. UU. |
| Fortinet revisa 12 productos y Cisco 31 productos y servicios; ninguno ha confirmado un equipo vulnerable | Help Net Security, 22 oct |
| Searchlight Cyber publicó un escáner gratuito y de código abierto para saber si un equipo es vulnerable | Help Net Security, 22 oct |
| PHP2Shell no está en el catálogo KEV de CISA (última alta: 20 de octubre) | Catálogo KEV de CISA, consultado el 22 oct |
La gravedad no coincide entre fuentes: Palo Alto da 8.7 (CVSS 4.0, urgencia "moderada") para sus equipos, el aviso de PHP habla de 9.2 y algunos medios citan 9.8. Lo que importa: no se necesita iniciar sesión y el ataque es por red.
Por qué el firewall es el caso más incómodo
Un servidor web se actualiza en una tarde. Un firewall, un conmutador telefónico o un balanceador traen PHP dentro del firmware, y solo el fabricante puede corregirlo con una versión nueva. Mientras tanto, el equipo que protege tu red tiene una puerta abierta en su propia consola.
Palo Alto lo dice claro en su aviso: el riesgo más alto es cuando la interfaz de administración es accesible desde internet. Es exactamente el mismo punto débil que vimos hace ocho días con la falla de PAN-OS explotada a través de la consola. Si esa consola ya estaba cerrada a internet desde entonces, hoy tu exposición es mucho menor.
Otros equipos que traen PHP por dentro
Palo Alto es el único gran fabricante de seguridad que, al cierre de esta nota, había publicado un aviso formal con productos afectados. Para el resto, la mejor referencia pública es el rastreador independiente phpvulnerabilities.app, que no está afiliado a PHP ni a ningún fabricante y que actualizó su lista el 22 de octubre. Tómalo como guía para revisar, no como veredicto:
| Equipo | Estado según el rastreador (22 oct) |
|---|---|
| FreePBX / PBXact (Sangoma) | Afectado, sin corrección del fabricante |
| F5 BIG-IP (utilidad de configuración) | Afectado, sin corrección |
| Citrix NetScaler ADC / Gateway | Afectado, sin corrección |
| Fortinet FortiADC, FortiDDoS, FortiSIEM, FortiSOAR | Sin corrección, en investigación |
| Trend Micro Apex One / Apex Central | Afectado, sin corrección |
| Synology DSM (Web Station), QNAP QTS | Sin aviso del fabricante |
| pfSense y OPNsense | Ya corregidos (PHP 8.5.12 / 8.3.36) |
| GLPI (Docker), mailcow, Coolify | Ya corregidos |
FreePBX merece atención especial en México, porque es la base de muchos conmutadores IP de PyMEs, igual que Issabel, que ya tuvo su propia falla crítica en septiembre. Y en los NAS se repite la historia de esta semana con Plex Media Server explotado en equipos domésticos y de oficina: el aparato que "nadie toca" es el que termina expuesto.
Qué hacer hoy
- Haz la lista de equipos con consola web. Firewall, conmutador, NAS, balanceador, VPN, consola de antivirus.
- Comprueba cuáles se ven desde internet. Desde fuera de la oficina (con datos del celular), intenta abrir la IP pública en los puertos de administración. Nuestro tutorial para escanear vulnerabilidades en tu red explica cómo hacerlo con herramientas gratuitas.
- Cierra las consolas a internet. Administra solo desde la red interna o a través de una VPN. Es la mitigación que recomienda Palo Alto y la más efectiva para cualquier marca mientras llega el parche.
- Activa las firmas de prevención. Si tu firewall tiene suscripción de prevención de amenazas, actualiza el contenido y confirma que las firmas de PHP2Shell estén en modo bloqueo, no solo alerta.
- Suscríbete a los avisos de cada fabricante. Palo Alto marca la corrección como "TBD"; cuando salga, instálala en la siguiente ventana de mantenimiento, no en la del próximo mes.
- Revisa los registros de acceso a la consola desde el 17 de octubre. Inicios de sesión desde países o IP que no reconoces, usuarios administradores nuevos o cambios de configuración que nadie pidió son motivo para aislar el equipo y pedir apoyo.
- No olvides tus servidores. Lo de ayer sigue vigente: actualizar PHP y reiniciar PHP-FPM o Apache.
Cada falla grande en software común termina viviendo dentro de aparatos que no se actualizan solos: pasó con Log4j y hoy pasa con PHP. Ya lo vimos este mes en NetScaler. Si no tienes claro qué equipos de tu red tienen la consola expuesta, en ciberseguridad y redes hacemos el inventario, cerramos accesos y damos seguimiento a cada aviso hasta que el parche quede instalado.
