PHP2Shell, día 6: Palo Alto adelanta cuatro hotfixes de PAN-OS 11.1 y PHP rehace sus paquetes de Windows por una falla en Brotli

Sexto día de PHP2Shell y Palo Alto vuelve a ir adelante de su propio calendario. Este lunes 26 de octubre de 2026, Palo Alto Networks actualizó su aviso CVE-2026-109618 y marcó como liberados cuatro hotfixes de PAN-OS 11.1 que tenía programados entre el martes 27 y el jueves 29: 11.1.4-h38, 11.1.6-h40, 11.1.10-h36 y 11.1.13-h16. Con los del domingo, ya son siete versiones con corrección.

El mismo día, el proyecto PHP publicó paquetes reconstruidos para Windows (8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1) para cerrar CVE-2026-111497, una falla en Brotli, la librería de compresión que viaja dentro de esos paquetes. No es PHP2Shell, pero si tienes PHP sobre Windows, te toca reinstalar aunque ya estés en la versión que corrige PHP2Shell.

Si llegas tarde: el 21 de octubre PHP corrigió CVE-2026-109618 y CVE-2026-109619, el 23 Palo Alto fijó su calendario de hotfixes del 26 al 30 y el 25 salieron los primeros tres hotfixes y el aviso de CVE-2026-115560.

Palo Alto: la rama 11.1 queda casi completa

Así queda la tabla del aviso tras la revisión del 26 de octubre:

Lo que cambió hoy, en concreto:

• 11.1.13-h16 estaba estimado para el martes 27: salió un día antes.
• 11.1.10-h36 estaba para el miércoles 28: dos días antes.
• 11.1.4-h38 y 11.1.6-h40 estaban para el jueves 29: tres días antes.

De la rama 11.1 solo falta 11.1.7-h12, que sigue para el viernes 30. Las ramas 10.2, 11.2, 12.1 y 12.2 no se movieron. Panorama (virtual y M-Series) sigue afectado y sin tabla propia: usa las mismas versiones de PAN-OS.

Palo Alto mantiene que no conoce explotación maliciosa contra sus productos. Su equipo de inteligencia, Unit 42, actualizó el 25 de octubre su informe sobre las dos fallas de PHP, y el rastreador independiente phpvulnerabilities.app registra que ese mismo día Unit 42 se retractó de un reporte del 23 sobre una intrusión en una dependencia de gobierno europea: dijo que no puede confirmar que el acceso inicial usara estas fallas.

PHP en Windows: paquetes "-1" por la falla de Brotli

El aviso de php.net del 26 de octubre es breve. Los paquetes oficiales de PHP para Windows incluyen ahora Brotli 1.2.1, versión que Google publicó el 21 de octubre y que corrige CVE-2026-111497, una escritura fuera de límites en la descompresión. En las notas de la versión, Google la describe como una falla que permite ejecución remota de código. PHP no publicó calificación de severidad, y al revisar el apartado de avisos de seguridad del repositorio de Brotli el 26 de octubre todavía no había ninguno publicado con detalle de versiones afectadas.

¿Cuándo te pega? Según PHP, en Windows el descompresor vulnerable se alcanza por la extensión cURL cuando está activa la descompresión automática de respuestas HTTP. Esa opción viene apagada en cURL, pero aplicaciones y librerías cliente de HTTP pueden encenderla. Traducido: si tu sistema en PHP consulta servicios externos (un PAC para timbrar, la API de una paquetería, un tipo de cambio) y el código pide respuestas comprimidas, un servidor malicioso o comprometido podría mandarle una respuesta armada para explotar la falla.

Tres detalles para no confundirte:

1. El número de PHP no cambia. El sufijo -1 solo indica que se reconstruyó el paquete con dependencias nuevas; php -v seguirá mostrando 8.4.27 o la que tengas. Anota en tu inventario que instalaste el paquete -1, porque el número no te lo va a decir.
2. El aviso solo cubre Windows. En Linux, Brotli lo instala tu distribución como paquete del sistema; la corrección llegará por sus actualizaciones normales.
3. No sustituye lo pendiente. Estos paquetes no corrigen CVE-2026-115560, la falla del progreso de carga de sesiones que PHP anunció el 23. La mitigación sigue siendo session.upload_progress.enabled = 0 en php.ini o en el pool de PHP-FPM, y la corrección llegará con la siguiente versión regular de mantenimiento, todavía sin fecha.

Si tu PHP en Windows llegó dentro de un paquete armado por terceros (un instalador tipo "todo en uno", el que trajo tu ERP web o el de tu proveedor de hosting), el PHP no viene de php.net: pregunta a quien lo mantiene si ya incorporó Brotli 1.2.1.

El resto del panorama al 26 de octubre

Qué hacer esta semana

1. Firewalls Palo Alto en 11.1: revisa tu versión exacta (Dashboard, "Software Version"). Si estás en 11.1.4, 11.1.6, 11.1.10, 11.1.13 u 11.1.16, tu hotfix ya está; agenda la ventana. Si estás en 11.1.7, el tuyo sale el viernes 30.
2. Otras ramas: confirma tu fecha en la tabla y, mientras tanto, mantén la consola de administración fuera de internet y las firmas de prevención con contenido 9162 o posterior, como explicamos el 23 de octubre. Si ya viviste la falla de la consola de PAN-OS de este mes, ya sabes por qué.
3. Servidores Windows con PHP: instala el paquete -1 de tu rama y reinicia IIS, Apache o el servicio que ejecute PHP. Si sigues en 8.2, planea la salida: pierde soporte el 31 de diciembre.
4. Todos los servidores con PHP: confirma que session.upload_progress.enabled sigue en 0 después de cualquier reinstalación; un paquete nuevo puede traer un php.ini de fábrica.
5. Comprueba desde fuera qué expones con nuestro método para escanear vulnerabilidades en tu red.

Si tienes firewalls de varias ramas o servidores con PHP que nadie sabe quién instaló, en ciberseguridad y servidores hacemos el inventario, aplicamos los parches en ventana y dejamos las mitigaciones donde sí funcionan.

Contexto y fuentes

Esta nota se basa en el aviso de seguridad CVE-2026-109618 de Palo Alto Networks (publicado el 21 y actualizado el 26 de octubre de 2026); la noticia de php.net del 26 de octubre de 2026 sobre los paquetes de Windows y el aviso informativo del 23 de octubre; las notas de la versión 1.2.1 de Brotli en el repositorio de Google (21 de octubre de 2026); el catálogo Known Exploited Vulnerabilities de CISA, versión 2026.10.23 (consultado el 26 de octubre); el sitio de Unit 42, y el rastreador independiente phpvulnerabilities.app (actualizado el 26 de octubre). El rastreador no pertenece a PHP ni a ningún fabricante: úsalo como guía y confirma en el aviso oficial de tu marca.