Ya están disponibles los parches para php2shell para las versiones de PHP 5.2 a 8.5

ELS para PHP forma parte de ELS para entornos de ejecución, que abarca PHP y todos los demás entornos de ejecución. Precios:

• Hasta 10 licencias: 5.000 dólares al año.
• De 11 a 100 licencias: 9.750 dólares al año.

Contrato anual, pago por adelantado, sin cuota de alta.

Comprar en línea: https://tuxcare.com/buy/els/?family=rt

No. TuxCare no ofrece licencias individuales ni planes mensuales. El nivel más básico incluye hasta 10 licencias por 5.000 dólares al año.

Comprar en línea: https://tuxcare.com/buy/els/?family=rt

Sí. La licencia es por servidor. Abarca todas las versiones de PHP compatibles en ese servidor (por ejemplo, 7.0, 7.1, 7.2 y 7.3 en conjunto) y todos los dominios alojados en él.

Sí, en el caso de las versiones de PHP que no son las del sistema. ELS para CentOS 6 o 7 no permite acceder al repositorio alt-php. Las compilaciones de alt-php requieren una licencia de ELS for Runtimes que admita todas las diferentes versiones de PHP, como PHP 7.

Los paquetes nativos de PHP del sistema operativo (por ejemplo, CentOS 7 php-5.4.16) recibir parches a través de ELS para el sistema operativo.

Compra: https://tuxcare.com/buy/els/?family=rt (selecciona «ELS» en «Runtimes»; PHP está incluido). Recibirás un correo electrónico de bienvenida con la clave de licencia y las instrucciones de instalación.

Instalación: sigue las instrucciones de https://docs.tuxcare.com/els-for-runtimes/php/ (se abre en una pestaña nueva)

Errores de instalación (por ejemplo, «No se ha devuelto ningún token desde CLN»): abre un ticket de asistencia en https://support.tuxcare.com/hc/en-us/requests/new (se abre en una pestaña nueva). Indica el sistema operativo, la versión de PHP, el texto exacto del error y el ID de tu clave de licencia.

Compra en línea: el correo electrónico de bienvenida envía la clave de licencia inmediatamente después de la compra.

Pedido de compra: el pago se realiza por adelantado. La clave de licencia se envía una vez procesado el pago.

La instalación se realiza mediante el gestor de paquetes y no requiere interrupción del servicio.

Por el momento, no ofrecemos licencias de prueba.

Japón: Cybertrust (https://www.cybertrust.co.jp/ (se abre en una pestaña nueva)) ofrece la posibilidad de comprar en el país, precios locales y asistencia en japonés.

Corea del Sur: CUDO Communication (https://www.cudo.co.kr/ (se abre en una nueva pestaña))

Sí. El equipo de ingeniería ha retroaplicado las correcciones a todas las ramas «alt-php»: 5.2–5.6, 7.0–7.4 y 8.0–8.5.

En PHP Upstream solo se han corregido las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Para las ramas más antiguas, la corrección procede de TuxCare.

El proyecto PHP no ha publicado ninguna versión de PHP 8.1 ni de versiones anteriores. El equipo de seguridad de PHP ha publicado adaptaciones mínimas del código fuente para las versiones 7.4, 8.0 y 8.1. PHP 8.2 llegará al final de su ciclo de vida el 31 de diciembre de 2026.

Una compilación fija conserva la versión anterior de PHP y recibe un nuevo número de versión. Ejemplo: alt-php74 se mantiene en la versión 7.4.33 y pasa de la versión -79 a la -81 en EL7.

Para consultar una rama y un sistema operativo, utiliza el rastreador de CVE: CVE-2026-109618 y CVE-2026-109619

En ELS para plataformas de sistema operativo, los paquetes nativos de PHP del sistema operativo también se han corregido. Ejemplos: Ubuntu 16.04/18.04/20.04, Debian 10/11, CentOS 6/7/8, RHEL 7, Amazon Linux 2.

El aviso de PHP menciona PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Apache mod_php es el que presenta mayor riesgo. PHP-FPM, LiteSpeed y FrankenPHP se ven afectados en algunas configuraciones. PHP afirma que la actualización es la única solución definitiva.

Admitimos las versiones de PHP desde la 5.2 hasta la 8.5. Las versiones de PHP disponibles dependen del sistema operativo:

Linux

• EL6 (CentOS 6, Oracle Linux 6, CloudLinux 6): PHP 5.2–5.6, 7.0–7.4, 8.0–8.3
• EL7 (CentOS 7, RHEL 7, Oracle Linux 7, Amazon Linux 2, CloudLinux 7): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL8 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS 8, CentOS Stream 8, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL9 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS Stream 9, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL10 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CloudLinux): PHP 5.3–5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 16.04: PHP 5.5, 5.6, 7.0–7.4, 8.0–8.3
• Ubuntu 18.04, 20.04, 22.04, 24.04: PHP 5.2, 5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 26.04: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 10, 11, 12: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 13: PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• Alpine Linux 3.23, 3.24: PHP 7.3, 7.4, 8.0, 8.1

Windows

• Windows Server 2019, 2022, 2025 (x64 y x86): PHP 5.2, 5.4, 5.6, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2

Windows Server 2016 y versiones anteriores no figuran en esta lista, al igual que PHP 5.3, 5.5, 7.0 y 7.1 para Windows.

Tabla completa: https://docs.tuxcare.com/els-for-runtimes/php/#about-alt-php (se abre en una pestaña nueva)

Arquitectura: x86_64 en todos los sistemas Linux. arm64 en Debian 12 y 13 y en Alpine Linux. Hay otras versiones y arquitecturas disponibles previa solicitud.

Sistemas operativos al final de su ciclo de vida: CentOS 6, 7 y 8, CentOS Stream 8, RHEL 7, Oracle Linux 6 y 7, Amazon Linux 2, Ubuntu 16.04, 18.04 y 20.04, y Debian 10 y 11 han llegado al final de su ciclo de vida. ELS para PHP solo corrige errores de PHP. Para obtener correcciones de seguridad del propio sistema operativo, adquiere también ELS para el sistema operativo: https://tuxcare.com/buy/els/ (lista de sistemas operativos: https://docs.tuxcare.com/els-for-os/ (se abre en una nueva pestaña)). Un mismo pedido puede incluir ambos productos.

No compatibles: Amazon Linux 1, CentOS 5, Debian 9, SUSE y CentOS 6 de 32 bits.

Amazon Linux 2023 no figura en la lista de sistemas operativos compatibles con ELS para PHP. Actualmente no está incluido en la hoja de ruta de ELS, pero TuxCare tiene previsto añadirlo a la hoja de ruta si hay suficiente demanda. El soporte técnico para Amazon Linux 2023 finalizará en junio de 2029.

ELS for Runtimes es compatible con las versiones de PHP desde la 5.2 hasta la 8.5 e incluye asistencia técnica las 24 horas del día, los 7 días de la semana. La asistencia es ilimitada. No tenemos previsto retirar ninguna de las versiones de PHP en los próximos años.

TuxCare realiza todos los esfuerzos comercialmente razonables para proporcionar parches dentro de los siguientes plazos, contados a partir de la fecha en que se da a conocer públicamente una vulnerabilidad:

• Riesgo crítico y alto (CVSS 7.0 y superior): en un plazo de 14 días
• Riesgo medio (CVSS 4,0 a 6,9): en un plazo de 60 días
• Riesgo bajo (CVSS de 0,1 a 3,9): en un plazo de 90 días

Hemos publicado las correcciones para estas dos vulnerabilidades críticas (CVE) el mismo día. Condiciones completas: https://docs.tuxcare.com/els-for-runtimes/ (se abre en una pestaña nueva)

Se instala junto a tu versión actual de PHP. ELS para PHP instala sus propias compilaciones (alt-php) del repositorio de TuxCare en /opt/alt/phpXY. Estas versiones se ejecutan independientemente del PHP del sistema, de Remi, Sury, Webtatic, IUS, ea-php, Plesk PHP o de cualquier versión personalizada.

Las páginas web se migran a alt-php de una en una. Para revertir el cambio, vuelve a configurar la página web con la versión anterior de PHP.

La instalación se realiza mediante el gestor de paquetes y no requiere interrupción del servicio.

TuxCare no aplica parches a las compilaciones de Amazon ni al PHP compilado por uno mismo. Debes trasladar el sitio a la compilación «alt-php» de la misma rama.

En cPanel, el cambio de ea-php73 a alt-php73 Se trata de una selección de la versión de PHP por cuenta. Prueba primero en una cuenta o en una copia de prueba.

Sí, funciona con cPanel, con Plesk y sin panel de control.

Sin panel / otros paneles: basta con una configuración estándar de Apache. No es necesario ningún panel de control. No podemos facilitar detalles sobre cada panel de control ni sobre versiones anteriores de los mismos.

cPanel: ELS para PHP funciona en CentOS 7 con cPanel/WHM 110. Instala los paquetes y, a continuación, cambia los sitios a la versión «alt-php» de la misma rama. La suscripción a TuxCare ELS para PHP, disponible en la tienda de cPanel, ofrece las mismas correcciones.

Plesk: «alt-php» aparece en Plesk como un gestor PHP adicional junto a las versiones de PHP de Plesk. Solo se cambia la configuración de los sitios web que se seleccionen. La extensión PHP de TuxCare para Plesk requiere Plesk 18.0.72 o una versión posterior.

Se incluyen las extensiones más comunes. alt-php distribuye las extensiones como paquetes independientes. Lista de extensiones compatibles: https://docs.tuxcare.com/els-for-runtimes/php/#supported-os-and-php-versions (se abre en una pestaña nueva)

Para alt-php73 En cPanel están disponibles ionCube, OPcache, memcached, GD, intl y los controladores de MySQL.

Si quieres una pila poco habitual, envíanos el resultado de php -v y php -m y una lista de tus módulos PECL o ionCube. Nuestros ingenieros comprobarán cuáles están disponibles.

Algunas extensiones PECL se distribuyen como paquetes alt-php, como por ejemplo alt-phpXY-pecl-msgpack y alt-phpXY-pecl-igbinary. También puedes instalar extensiones con pecl. El Documentación de ELS para PHP (se abre en una pestaña nueva) mostrar cómo crear una extensión para alt-php con phpize y el alt-phpXY-devel paquete, utilizando SaxonC como ejemplo.

Las versiones estándar de alt-php no se compilan con seguridad para subprocesos. alt-php72 en EL7 también cuenta con un paquete seguro para subprocesos, alt-php72-zts, que ofrece un zts-php binario. Se realizan compilaciones «thread-safe» de otras versiones bajo pedido. Cada una de ellas es una compilación independiente de PHP y de sus extensiones PECL, con unos 75 paquetes por versión de PHP, por lo que te recomendamos que te pongas en contacto con el departamento de ventas para solicitar un presupuesto.

Actualiza los paquetes de alt-php con la herramienta de actualización habitual de tu sistema (yum, dnf o apt). La versión actualizada se instala en /opt/alt/phpXY. Puedes consultar qué versión corrige los problemas de tu rama de PHP y tu sistema operativo en el Rastreador de CVE de TuxCare.

Actualmente, TuxCare no aplica parches a los paquetes de Remi. alt-php se instala junto al PHP de Remi, en la carpeta /opt/alt/phpXY, y se van trasladando los sitios web a él de uno en uno. Por ejemplo, alt-php74 se puede instalar en Rocky Linux 9.

Hay paquetes para arm64 disponibles para Debian 12 y 13, así como para Alpine Linux 3.23 y versiones posteriores. El script de instalación de Debian, install-els-alt-php-deb-repo.sh, configura el repositorio en contenedores de Debian 12 y 13 en amd64 y arm64. Ejecútalo con bash, ya que si lo ejecutas con sh se producen errores. La licencia para los contenedores se gestiona por separado, así que ponte en contacto con el departamento de ventas.

Sí, siempre que el departamento de ventas lo apruebe. El departamento de ventas puede añadir tus direcciones IP a la lista de direcciones permitidas de rsync. Los repositorios de TuxCare siempre utilizan autenticación basada en tokens o en direcciones IP.

TuxCare dispone de paquetes fuente para ELS para PHP: paquetes src.rpm para Enterprise Linux y archivos tar de código fuente para Debian y Ubuntu. Se facilitan a los clientes previa solicitud.

Estas versiones corrigen los vulnerabilidades CVE-2026-109618 y CVE-2026-109619:

• PHP 5.2.17: tuxcare.els9
• PHP 5.4.45: tuxcare.els8
• PHP 5.6.40: tuxcare.els12
• PHP 7.2.34: tuxcare.els9
• PHP 7.3.33: tuxcare.els11
• PHP 7.4.33: tuxcare.els13
• PHP 8.0.30: tuxcare.els8
• PHP 8.1.33: tuxcare.els6
• PHP 8.2.29: tuxcare.els4

Cualquier versión con ese número de els o superior incluye la corrección. Todas las versiones se encuentran en windows.tuxcare.com/php/<version>/.

• PHP 5.2 y 5.4: solo x86, VC9
• PHP 5.6: x86 y x64, VC11
• PHP 7.2, 7.3 y 7.4: x86 y x64, VC15
• PHP 8.0, 8.1 y 8.2: x86 y x64, vs16

Cada versión está disponible en compilaciones «thread-safe» (TS) y «non-thread-safe» (NTS). PHP 5.2 solo se puede compilar para x86, por lo que no existe una compilación para x64.

Necesitas acceso de administrador y, además, una clave de licencia de TuxCare o el token de autenticación que ya tienes. Puedes realizar la instalación con el instalador de TuxCare (recomendado), el tuxcare-installer.ps1 Script de PowerShell o descarga manual. El instalador instala una versión de PHP por cada ejecución.

Si PHP ya está instalado, puedes elegir «Reemplazar», que elimina las instalaciones anteriores, o «Junta», que las conserva. El instalador crea el archivo php.ini a partir de php.ini-production, añade la carpeta PHP a la ruta de acceso del sistema y elimina otras carpetas de PHP de dicha ruta.

Algunas extensiones están marcadas como «solo TS» o «solo NTS» y solo funcionan con la versión correspondiente. En el caso de IIS, la documentación remite a la documentación oficial de PHP. Si el instalador muestra «(No autenticado)», tu licencia o token no incluye PHP. El instalador traslada las carpetas de PHP desinstaladas a %APPDATA%\TuxCareInstaller\Backups, para que puedas recuperar una versión que hayas eliminado por error.

Sí. Descargar tuxcare-installer.ps1 desde windows.tuxcare.com, utilizando el enlace que aparece en el Documentación de ELS para PHP (se abre en una pestaña nueva), y ejecútalo desde una ventana de comandos con privilegios elevados. Para la automatización, utiliza -ExecutionPolicy Bypass; de lo contrario, el script firmado mostrará un mensaje de confirmación único sobre el editor bajo RemoteSigned. Un único comando registra el servidor, guarda el token e instala PHP:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File tuxcare-installer.ps1 -LicenseKey <license key> -Product php -Install "<archive name>" -InstallFolder D:\PHP -Modules curl,mbstring,openssl -NoPath

• Selecciona el archivo por su nombre, exactamente tal y como aparece -List -Product php lo imprime. Se permiten los comodines, pero el patrón debe coincidir exactamente con un archivo, ya que cada coincidencia se instala una tras otra.
• En el nombre del archivo, «nts» significa «no seguro para subprocesos» (las compilaciones seguras para subprocesos no incluyen la parte «nts»), «x64» o «x86» es la arquitectura, y «vs16», «vc15» o «VC11» es el compilador.
• PHP se extrae a la carpeta de instalación, en una subcarpeta que lleva el nombre del archivo comprimido. La carpeta de instalación predeterminada es C:\Archivos de programa. Si esa subcarpeta ya existe, la instalación falla con el código de salida 5.
• Sin -NoPath, la nueva carpeta se añade a la variable de entorno PATH del equipo y se eliminan todas las demás entradas de PATH que contengan «php». Con -NoPath, la ruta no se modifica ni al instalar ni al desinstalar.
• -Modules enumera las extensiones que hay que habilitar en el archivo php.ini generado. El resto aparecen en la lista, pero deshabilitadas. Si dejas -Modules De hecho, todas las extensiones están desactivadas.
• Para ejecuciones repetidas, omite -LicenseKey y se utiliza el token guardado. Al pasar -LicenseKey En un servidor que ya está registrado, la operación falla con el código de salida 2. Al instalar un archivo que ya está instalado, se muestra el mensaje «ya instalado» y se cierra con el código 0.
• Códigos de salida: 0 (éxito), 2 (ya registrado), 3 (error de registro o falta el token), 4 (no se ha encontrado ninguna coincidencia), 5 (error de instalación), 14 (sin privilegios elevados).

TuxCare.Installer.exe es un paquete WiX Burn y admite los parámetros estándar de Burn: /install, /uninstall, /repair, /layout, /quiet, /passive, /norestart, /forcerestart y /log. Ejecútalo con privilegios de administrador para realizar una instalación silenciosa:

TuxCare.Installer.exe /install /quiet /norestart /log C:\Temp\tuxcare-install.log

TuxCare.Installer.exe /uninstall /quiet /norestart desinstala y conserva la versión de PHP instalada. Añadiendo UninstallProducts=1 Además, desinstala PHP y cancela el registro del servidor.

El número de compilación de TuxCare no aparece en el comando «php -i». Solo figura en el nombre del archivo zip, que sigue el patrón php-<version>-tuxcare-els<N>-nts-Win32-vs16-x64-signed.zip. El script de PowerShell extrae el código PHP a una carpeta cuyo nombre coincide con el del archivo comprimido, sin la extensión .zip. Cada archivo zip contiene el archivo news.txt, y en su sección «Seguridad (retrocompatibilidad de TuxCare ELS)» se enumeran los CVE retrocompatibles en esa compilación.

Las actualizaciones se realizan manualmente. En el caso de una instalación de PHP sin panel de control, sustituye todos los archivos de la carpeta PHP, excepto los archivos .ini; esto suele funcionar en la mayoría de los casos.

No existe ninguna extensión de TuxCare para Plesk en Windows. Las compilaciones ELS pueden sustituir el contenido de las carpetas PHP correspondientes de Plesk, conservando las extensiones de terceros que ya se encuentren en dichas carpetas. La arquitectura de la compilación debe coincidir con la de la carpeta PHP de Plesk que se va a sustituir, y el tiempo de ejecución de Visual C++ debe coincidir con el compilador de la compilación, tal y como se indica en la pregunta sobre arquitecturas anterior.

Una versión fija mantiene la misma versión de PHP y solo cambia su número de versión, tal y como se explica en la pregunta anterior sobre el estado de las correcciones. TuxCare publica estos datos de seguridad para ELS para PHP:

• Avisos de erratas, que abarcan cuestiones de seguridad y erratas relacionadas con la corrección de errores seleccionados: https://security.tuxcare.com/errata/els_alt_php/<os>/
• Definiciones de parches OVAL para OpenSCAP y herramientas similares: https://security.tuxcare.com/oval/els_alt_php/<os>/oval.xml
• Avisos de la CSAF con datos de VEX, que muestran qué CVE conocidas afectan a versiones concretas de paquetes: https://security.tuxcare.com/csaf/v2/els_alt_php/<os>/
• Un canal RSS para estar al tanto de las novedades: https://tuxcare.com/cve-tracker/api/cves/export/rss?product=PHP (se abre en una nueva pestaña)

<os> es el segmento de ruta del sistema operativo, como el8, ubuntu22.04 o debian12. Las errata y el CSAF abarcan desde EL 6 hasta 10, desde Ubuntu 16.04 hasta 24.04, desde Debian 10 hasta 13 y desde Alpine 3.23 hasta 3.24. OVAL abarca los mismos sistemas, excepto Alpine. Ubuntu 26.04 solo dispone de la fuente RSS. Los paquetes y sus metadatos están firmados y se distribuyen desde un registro gestionado por TuxCare. Hay SBOM en formato SPDX o CycloneDX disponibles para algunos paquetes, y su disponibilidad varía según el paquete, por lo que se recomienda ponerse en contacto con TuxCare para consultar la disponibilidad de uno concreto. Detalles: Datos de seguridad legibles por máquina (se abre en una nueva pestaña).

TuxCare ofrece soporte para CakePHP (se abre en una pestaña nueva) en el marco de ELS (Language Ecosystems), con versiones parcheadas 2.10.24, 4.4.18 y 5.0.11 disponibles en un repositorio de Composer en el Nexus de TuxCare. Hay otras versiones de CakePHP disponibles previa solicitud. Para acceder es necesario disponer de credenciales de Nexus, que se obtienen a través de TuxCare. TuxCare también añade otros paquetes de PHP para Composer previa solicitud.

Actualiza a una versión corregida. El equipo de desarrollo de PHP indica que esta es la única solución definitiva. Hasta entonces, sigue estos pasos:

• Restringe el acceso al sitio. Utiliza una lista de permitidos de un grupo de seguridad de AWS o una VPN.
• Conjunto session.upload_progress.enabled = 0. Esto elimina una vía de ataque conocida únicamente para CVE-2026-109619. Configúralo en el archivo php.ini, en un grupo de PHP-FPM o en la configuración del servidor que se aplique antes del análisis de la solicitud y, a continuación, reinicia todos los trabajadores. No utilices la función ini_set() ni un archivo .user.ini de PHP-FPM para ello.
• Bloquea las solicitudes multiparte (de formulario o de carga de archivos) si el sitio web no las necesita. Las solicitudes multiparte diseñadas específicamente pueden provocar la vulnerabilidad CVE-2026-109618.

Imunify360, con el WAF activado, recibe automáticamente los conjuntos de reglas del 8.83 al 8.88. El conjunto de reglas 8.83 bloquea la solicitud de explotación que circula públicamente. Estos conjuntos de reglas constituyen un parche virtual: detienen los patrones de solicitud conocidos en el perímetro del servidor, mientras que el código PHP vulnerable permanece tal y como está. A fecha de 23 de octubre de 2026, ninguna regla bloquea la ruta de agotamiento de memoria de CVE-2026-109618. La cobertura de las reglas es diferente en LiteSpeed, y la publicación de estado de CloudLinux (se abre en una nueva pestaña) ofrece los detalles. Imunify360 con el WAF desactivado, ImunifyAV e ImunifyAV+ no obtienen cobertura de estos conjuntos de reglas. Solo la actualización de PHP corrige las vulnerabilidades.

En algunos servidores, sí. PHP ha incorporado correcciones para las versiones 7.4, 8.0 y 8.1 en su código fuente sin etiquetar las versiones, y ahora los scripts de la comunidad vuelven a compilar el PHP a partir del código fuente utilizando dichas correcciones. Esta forma de proceder corrige un error, pero solo en el PHP que hayas compilado tú mismo y únicamente en las plataformas que automatizan los scripts. Los paquetes de las distribuciones, mod_php y el de LiteSpeed lsphp quedan fuera del ámbito de aplicación, y los binarios recompilados nunca reciben otra actualización, por lo que el siguiente CVE de PHP hace que todo el proceso de compilación vuelva a empezar desde cero. ELS para PHP ofrece compilaciones corregidas a través de yum, dnf o apt, sigue aplicando parches a tu rama tras el «php2shell» y publica datos OVAL que tu escáner puede leer.