[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560":3,"prev-/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560":459,"next-/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560":438,"related-/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560":462,"author-Diego Herrera":480},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":415,"cta":416,"date":421,"dateModified":421,"description":422,"draft":423,"extension":424,"faq":425,"featured":423,"howto":438,"image":439,"imageAlt":440,"intent":441,"keywords":442,"meta":446,"navigation":447,"path":448,"publishedTime":449,"readingTime":450,"seo":451,"seoTitle":452,"stem":453,"tags":454,"__hash__":458},"blog/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560.md","PHP2Shell, día 5: salen los primeros hotfixes de PAN-OS y PHP avisa de una tercera falla sin parche","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":407},"minimark",[11,27,34,53,58,61,123,130,136,144,147,151,158,198,213,220,236,239,252,256,317,320,324,384,397,403],[12,13,14,18,19,22,23,26],"p",{},[15,16,17],"strong",{},"Quinto día de PHP2Shell y llegan las primeras correcciones para firewalls Palo Alto."," Este domingo 25 de octubre de 2026, Palo Alto Networks actualizó su aviso y marcó como ",[15,20,21],{},"liberados"," los tres hotfixes que tenía programados para el lunes 26: ",[15,24,25],{},"PAN-OS 10.2.18-h13, 11.1.16-h4 y 11.2.10-h16",". Salieron un día antes de lo previsto.",[12,28,29,30,33],{},"En paralelo, el proyecto PHP publicó el viernes 23 un aviso informativo sobre una ",[15,31,32],{},"tercera falla, CVE-2026-115560",", que todavía no tiene versión corregida. No es PHP2Shell, pero toca la misma pieza (el progreso de carga de archivos en las sesiones) y la mitigación es la misma que ya muchos aplicaron.",[12,35,36,37,42,43,47,48,52],{},"Si llegas tarde a la historia: el 21 de octubre PHP corrigió ",[38,39,41],"a",{"href":40},"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","CVE-2026-109618 y CVE-2026-109619",", dos fallas críticas que permiten ejecutar código en un servidor sin usuario ni contraseña. El 22 vimos que ",[38,44,46],{"href":45},"/blog/noticias/php2shell-firewalls-conmutadores-nas-php-incluido","firewalls, conmutadores y NAS traen PHP por dentro"," y el 23 que ",[38,49,51],{"href":50},"/blog/noticias/php2shell-palo-alto-parches-26-30-octubre","Palo Alto fijó su calendario de hotfixes del 26 al 30 de octubre",".",[54,55,57],"h2",{"id":56},"palo-alto-quién-ya-puede-actualizar","Palo Alto: quién ya puede actualizar",[12,59,60],{},"Así queda la tabla del aviso CVE-2026-109618 tras la revisión del 25 de octubre:",[62,63,64,77],"table",{},[65,66,67],"thead",{},[68,69,70,74],"tr",{},[71,72,73],"th",{},"Estado",[71,75,76],{},"Versiones de PAN-OS",[78,79,80,91,99,107,115],"tbody",{},[68,81,82,88],{},[83,84,85],"td",{},[15,86,87],{},"Liberado (25 oct)",[83,89,90],{},"10.2.18-h13, 11.1.16-h4, 11.2.10-h16",[68,92,93,96],{},[83,94,95],{},"Estimado martes 27 oct",[83,97,98],{},"10.2.13-h27, 11.1.13-h16, 11.2.13-h4",[68,100,101,104],{},[83,102,103],{},"Estimado miércoles 28 oct",[83,105,106],{},"10.2.16-h12, 11.1.10-h36, 11.2.16-h1, 12.1.7-h11, 12.2.4-h1",[68,108,109,112],{},[83,110,111],{},"Estimado jueves 29 oct",[83,113,114],{},"10.2.10-h42, 11.1.4-h38, 11.1.6-h40, 11.2.7-h23, 12.1.4-h13",[68,116,117,120],{},[83,118,119],{},"Estimado viernes 30 oct",[83,121,122],{},"10.2.7-h39, 11.1.7-h12, 11.2.4-h23, 12.1.10-h3",[12,124,125,126,129],{},"Las demás fechas no se movieron. Palo Alto sigue diciendo que ",[15,127,128],{},"no conoce explotación maliciosa contra sus productos",", y la lista de firmas de prevención es la misma del sábado: 543004, 97622 a 97625, 97643, 97647, 97649, 97652, 97653, 97656 a 97659, 97662 a 97664, 97670 a 97674 y 97676 a 97678, con contenido 9162 o posterior.",[12,131,132,135],{},[15,133,134],{},"Panorama"," (virtual y M-Series) sigue listado como afectado sin una tabla propia: sigue las mismas versiones de PAN-OS. Si tu Panorama administra firewalls que van a recibir el hotfix, revisa en la matriz de compatibilidad de Palo Alto si conviene actualizarlo primero o en la misma ventana, para no quedar con una consola central más vieja que los equipos que gestiona.",[137,138,141],"callout",{"icon":139,"title":140},"i-lucide-shield-check","Si tu versión ya tiene hotfix",[12,142,143],{},"No esperes al lunes. Descárgalo del portal de soporte de Palo Alto, respalda la configuración (named configuration snapshot fuera del equipo) y, si tienes par en alta disponibilidad, actualiza primero el pasivo. Programa la ventana en horario de baja actividad: el reinicio corta internet, VPN y telefonía IP unos minutos.",[145,146],"ad-banner",{},[54,148,150],{"id":149},"php-cve-2026-115560-sin-parche-todavía","PHP: CVE-2026-115560, sin parche todavía",[12,152,153,154,157],{},"El aviso del 23 de octubre en php.net es corto y, conviene decirlo, tranquilizador. La falla solo se puede aprovechar si se cumplen ",[15,155,156],{},"tres condiciones a la vez",":",[159,160,161,177,191],"ol",{},[162,163,164,165,169,170,173,174,52],"li",{},"La aplicación configura ",[166,167,168],"code",{},"session.serialize_handler"," como ",[166,171,172],{},"php_binary"," o ",[166,175,176],{},"php_serialize",[162,178,179,180,183,184,187,188,52],{},"En tiempo de ejecución lo cambia a ",[166,181,182],{},"php"," con ",[166,185,186],{},"ini_set()"," antes de llamar a ",[166,189,190],{},"session_start()",[162,192,193,194,197],{},"El progreso de carga de sesiones (",[166,195,196],{},"session.upload_progress.enabled",") sigue activo.",[12,199,200,201,204,205,208,209,212],{},"PHP la describe como una vía de ejecución remota ",[15,202,203],{},"poco probable en la práctica",". No publicó calificación de severidad ni versiones afectadas: dice que el aviso completo saldrá con la ",[15,206,207],{},"siguiente versión regular de mantenimiento",", sin fecha. Por eso, las versiones del 21 de octubre (8.5.12, 8.4.27, 8.3.36 y 8.2.35) corrigen PHP2Shell pero ",[15,210,211],{},"no"," esta falla.",[12,214,215,216,219],{},"La recomendación oficial es poner, en ",[166,217,218],{},"php.ini",", en el pool de PHP-FPM o en la configuración del servidor:",[221,222,227],"pre",{"className":223,"code":224,"language":225,"meta":226,"style":226},"language-ini shiki shiki-themes material-theme-lighter github-light github-dark","session.upload_progress.enabled = 0\n","ini","",[166,228,229],{"__ignoreMap":226},[230,231,234],"span",{"class":232,"line":233},"line",1,[230,235,224],{},[12,237,238],{},"Si ya lo hiciste como mitigación de CVE-2026-109619, PHP dice que lo dejes así y no hace falta nada más. Las aplicaciones que nunca cambian el manejador de sesiones en tiempo de ejecución pueden dejar la función activa, pero averiguarlo exige revisar código; en un ERP, CRM o tienda en línea con módulos de terceros, apagarla es más rápido y casi nunca se nota (solo afecta barras de progreso de subida que usan esa función de PHP).",[12,240,241,242,244,245,248,249,251],{},"Un detalle que repite el aviso del 21: la opción ",[15,243,211],{}," sirve en ",[166,246,247],{},".user.ini"," ni con ",[166,250,186],{},". Va en la configuración que se lee antes de procesar la petición, y luego hay que reiniciar los procesos de PHP-FPM o Apache.",[54,253,255],{"id":254},"el-resto-del-panorama-al-25-de-octubre","El resto del panorama al 25 de octubre",[62,257,258,270],{},[65,259,260],{},[68,261,262,265,267],{},[71,263,264],{},"Tema",[71,266,73],{},[71,268,269],{},"Fuente",[78,271,272,286,297,307],{},[68,273,274,277,284],{},[83,275,276],{},"Catálogo KEV de CISA",[83,278,279,280,283],{},"PHP2Shell ",[15,281,282],{},"sigue fuera","; la versión vigente es la 2026.10.23",[83,285,276],{},[68,287,288,291,294],{},[83,289,290],{},"Explotación",[83,292,293],{},"Muchos intentos registrados por Cloudflare, AWS y watchTowr; ninguna intrusión confirmada en un sitio en producción con nombre",[83,295,296],{},"Rastreador phpvulnerabilities.app, 25 oct",[68,298,299,302,305],{},[83,300,301],{},"Sondeos nuevos",[83,303,304],{},"La firma de señuelos Defused vio el 25 de octubre sondeos con una marca de progreso de carga y un archivo vacío, sin carga maliciosa; lo interpreta como armado de listas de objetivos",[83,306,296],{},[68,308,309,312,315],{},[83,310,311],{},"Distribuciones",[83,313,314],{},"Ubuntu, Debian, cPanel y Plesk ya corregidos; Red Hat parcialmente",[83,316,296],{},[12,318,319],{},"El rastreador es independiente (no pertenece a PHP ni a ningún fabricante): úsalo como guía y confirma en el aviso oficial de tu marca. Que alguien esté armando listas de servidores con la función de progreso activa es una razón más para apagarla hoy.",[54,321,323],{"id":322},"qué-hacer-hoy","Qué hacer hoy",[159,325,326,332,342,361,374],{},[162,327,328,331],{},[15,329,330],{},"Firewalls Palo Alto:"," ubica tu versión exacta (Dashboard, \"Software Version\"). Si estás en 10.2.18, 11.1.16 u 11.2.10, el hotfix ya está; agenda la ventana esta misma semana. Si no, confirma tu fecha y prepara el salto de versión base si lo necesitas.",[162,333,334,337,338,52],{},[15,335,336],{},"Servidores con PHP:"," comprueba que ya estén en 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o el paquete corregido de tu distribución). Si sigues en PHP 8.2, recuerda que ",[38,339,341],{"href":340},"/blog/noticias/postgresql-14-php-8-2-fin-soporte-noviembre-diciembre","se queda sin soporte el 31 de diciembre",[162,343,344,349,350,352,353,356,357,360],{},[15,345,346,347],{},"Apaga ",[166,348,196],{}," en ",[166,351,218],{}," o en el pool de FPM, reinicia y verifícalo con ",[166,354,355],{},"php -i | grep upload_progress"," o con una página ",[166,358,359],{},"phpinfo()"," temporal que borres al terminar.",[162,362,363,366,367,369,370,52],{},[15,364,365],{},"Equipos con PHP embebido"," (ClearPass, NAS, conmutadores): aquí no controlas el ",[166,368,218],{},"; depende del fabricante. Sigue los avisos de cada marca, como el ",[38,371,373],{"href":372},"/blog/noticias/aruba-aos-8-aos-10-72-fallas-clearpass-php2shell","hotfix de ClearPass que ya publicó HPE",[162,375,376,379,380,52],{},[15,377,378],{},"Saca de internet lo que no puedas parchar"," y comprueba desde fuera con nuestro método para ",[38,381,383],{"href":382},"/blog/tutorial/escanear-vulnerabilidades-red","escanear vulnerabilidades en tu red",[12,385,386,387,391,392,396],{},"Si tu firewall necesita una ruta de actualización larga o tienes servidores con PHP que nadie sabe quién administra, en ",[38,388,390],{"href":389},"/servicios/ciberseguridad","ciberseguridad"," y ",[38,393,395],{"href":394},"/servicios/servidores","servidores"," hacemos el inventario, aplicamos los parches y dejamos las mitigaciones donde sí funcionan.",[12,398,399],{},[400,401,402],"em",{},"Fuentes: aviso de seguridad CVE-2026-109618 de Palo Alto Networks (publicado el 21 y actualizado el 25 de octubre de 2026); noticias de php.net del 21 y 23 de octubre de 2026; catálogo Known Exploited Vulnerabilities de CISA, versión 2026.10.23 (consultado el 25 de octubre); rastreador independiente phpvulnerabilities.app (actualizado el 25 de octubre de 2026).",[404,405,406],"style",{},"html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":226,"searchDepth":408,"depth":409,"links":410},2,3,[411,412,413,414],{"id":56,"depth":408,"text":57},{"id":149,"depth":408,"text":150},{"id":254,"depth":408,"text":255},{"id":322,"depth":408,"text":323},"noticias",{"title":417,"description":418,"label":419,"to":389,"icon":420},"¿Tu PAN-OS no está entre los tres primeros hotfixes?","Revisamos versión y ruta de actualización de tu firewall, cerramos la consola a internet mientras tanto y aplicamos el hotfix en cuanto salga tu fecha.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-25","Palo Alto liberó el 25 de octubre los hotfixes 10.2.18-h13, 11.1.16-h4 y 11.2.10-h16. Además, PHP avisa de CVE-2026-115560, sin parche aún: cómo mitigarla.",false,"md",[426,429,432,435],{"question":427,"answer":428},"¿Ya salió el parche de PHP2Shell para mi firewall Palo Alto?","Solo para tres versiones. El 25 de octubre de 2026 Palo Alto marcó como liberados los hotfixes 10.2.18-h13, 11.1.16-h4 y 11.2.10-h16 de PAN-OS. Las demás versiones siguen con fecha estimada entre el 27 y el 30 de octubre.",{"question":430,"answer":431},"¿Qué es CVE-2026-115560?","Es una falla de PHP en la función de progreso de carga de archivos de las sesiones (session upload progress) que PHP anunció el 23 de octubre de 2026. Todavía no tiene versión corregida: el aviso completo saldrá con la siguiente versión regular de mantenimiento. PHP la describe como una vía de ejecución remota poco probable, porque requiere una combinación rara de configuración.",{"question":433,"answer":434},"¿Cómo mitigo CVE-2026-115560 mientras sale el parche?","PHP recomienda poner session.upload_progress.enabled = 0 hasta la siguiente versión de mantenimiento. Si ya lo hiciste como mitigación de PHP2Shell (CVE-2026-109619), no tienes que hacer nada más. Ponlo en php.ini o en el pool de PHP-FPM y reinicia los procesos.",{"question":436,"answer":437},"¿PHP2Shell ya está en el catálogo KEV de CISA?","No. Al revisar el catálogo de vulnerabilidades explotadas de CISA el 25 de octubre de 2026, la versión vigente seguía siendo la 2026.10.23 y no incluía CVE-2026-109618 ni CVE-2026-109619.",null,"/images/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560.jpg","Firewall en un rack con una etiqueta de actualización aplicada junto a un archivo de configuración de PHP abierto en una laptop","informational",[443,444,196,445],"php2shell pan-os hotfix liberado","cve-2026-115560 php","pan-os 11.2.10-h16",{},true,"/blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560","2026-10-25T15:30:00-06:00",5,{"title":5,"description":422},"PHP2Shell: primeros hotfixes de PAN-OS y CVE-2026-115560","blog/noticias/php2shell-pan-os-primeros-hotfixes-php-cve-2026-115560",[390,455,456,457],"firewalls","vulnerabilidades","parches","6KEu7pA4TU2SpBMgaBqA5SbsrEM6x7GkGMV-5l0dhLw",{"path":460,"title":461},"/blog/noticias/office-microsoft-store-sin-parches-diciembre","¿Tu Office se instaló desde la Tienda de Microsoft? En diciembre deja de recibir parches de seguridad",[463,468,474],{"path":340,"title":464,"description":465,"date":421,"category":415,"image":466,"imageAlt":467,"readingTime":450},"PostgreSQL 14 se queda sin parches el 12 de noviembre y PHP 8.2 el 31 de diciembre: revisa tu ERP y tu sitio web","PostgreSQL 14 recibe su último parche el 12 de noviembre de 2026 y PHP 8.2 deja de tener soporte el 31 de diciembre. Cómo saber si te afecta y a dónde migrar.","/images/blog/noticias/postgresql-14-php-8-2-fin-soporte-noviembre-diciembre.jpg","Terminal de un servidor Linux mostrando la versión de PostgreSQL y de PHP junto a un calendario con el 12 de noviembre y el 31 de diciembre marcados",{"path":469,"title":470,"description":471,"date":421,"category":415,"image":472,"imageAlt":473,"readingTime":450},"/blog/noticias/ley-ia-europa-2-diciembre-empresas-mexicanas","Ley de IA europea: el 2 de diciembre vence la prórroga para marcar contenido generado con IA. ¿Le toca a tu empresa en México?","El 2 de diciembre de 2026 termina la prórroga del AI Act para marcar contenido hecho con IA y entra una nueva prohibición. Qué aplica si vendes en Europa.","/images/blog/noticias/ley-ia-europa-2-diciembre-empresas-mexicanas.jpg","Pantalla de una tienda en línea con versión en inglés y un aviso de 'imagen generada con IA' junto a la foto de un producto, con un calendario marcando el 2 de diciembre",{"path":475,"title":476,"description":477,"date":421,"category":415,"image":478,"imageAlt":479,"readingTime":450},"/blog/noticias/ley-general-catastral-registral-dof-clave-unica-llave-mx","Ley Catastral y Registral ya está en el DOF: Clave Única por predio y trámites con Llave MX desde 2027","El DOF publicó el 23 de octubre la Ley General Catastral y Registral: Clave Única Catastral, plataformas con Llave MX desde 2027. Qué cambia para empresas con inmuebles.","/images/blog/noticias/ley-general-catastral-registral-dof-clave-unica-llave-mx.jpg","Plano catastral de una manzana con un predio resaltado junto a una laptop con un trámite en línea",{"id":481,"avatar":438,"bio":482,"entityType":483,"expertise":484,"extension":485,"meta":486,"name":6,"role":487,"slug":488,"social":438,"stem":489,"url":7,"__hash__":490},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]