El equipo de ISPConfig ha publicado ispconfig-multipart-guard, una solución de mitigación para bloquear las peticiones multipart/form-data —el formato que usan los navegadores para subir archivos— y así cerrar temporalmente la vía de explotación conocida como PHP2Shell (CVE-2026-109618 y CVE-2026-109619).
Qué hace ispconfig-multipart-guard y por qué importa
La herramienta intercepta y bloquea en el servidor web (nginx o Apache) las solicitudes cuyo encabezado Content-Type empieza por multipart/…, antes de que lleguen al intérprete PHP. Ese paso es crítico porque PHP analiza las cargas multipart antes de ejecutar cualquier código del script, por lo que una sola petición a cualquier archivo PHP puede ser suficiente para explotar la falla, incluso si la aplicación no expone un formulario de subida.
¿A quién afecta y alcance de la mitigación
La vulnerabilidad es de PHP en sí, por lo que afecta a todas las aplicaciones PHP que corran en el servidor: gestores de contenido, tiendas, webmails, herramientas de administración (por ejemplo phpMyAdmin) e incluso el propio panel ISPConfig cuando se sirve desde el mismo servidor web. ispconfig-multipart-guard se puede aplicar para todo el servidor o de forma selectiva por sitio, y proporciona un modo de activación y desactivación con un solo comando.
Limitaciones y pasos que deben tomar los administradores
- Esto no es una corrección definitiva: la solución permanente es instalar la versión de PHP parcheada distribuida por la distribución o el repositorio que utilice su sistema.
- Mientras el bloqueo esté activo, las subidas de archivos dejan de funcionar en los vhosts afectados: importaciones en phpMyAdmin, adjuntos en webmail, cargas de medios en CMS, etc. Las páginas normales y formularios urlencoded siguen funcionando.
- ISPConfig recomienda activar la allowlist con direcciones IP o rangos confiables para permitir subidas puntuales desde ubicaciones específicas (por ejemplo, la IP de la oficina) y ejecutar ispconfig-multipart-guard repair tras editarla.
- En entornos detrás de proxies inversos o CDNs hay que asegurarse de que el servidor web vea la IP real del cliente (nginx: realip; Apache: mod_remoteip). No agregue las IPs del CDN a la allowlist.
Operación en infraestructuras y multiserver
En configuraciones multiserver hay que ejecutar el script en cada servidor web y también en el master si éste sirve el panel o un vhost de aplicaciones. El script no edita los vhosts directamente pero instala ganchos que permanecen tras actualizaciones; un cron los re-aplica cada 5 minutos y existe un comando de reparación que restaura los hooks inmediatamente tras una actualización de ISPConfig.
Recomendaciones finales
Instale las actualizaciones de PHP tan pronto como su distribución o repositorio publique los paquetes parcheados y, después de actualizar y reiniciar los servicios PHP-FPM necesarios, desactive ispconfig-multipart-guard. Si su sistema ya está en fin de vida y no recibirá parches, planifique migrar a versiones soportadas. La mitigación es útil como medida de emergencia, pero no sustituye la actualización del intérprete PHP.
Lee también:
- NIST, CISA y NSA publican diez buenas prácticas para responder a agentes de IA que se comportan de forma inesperada
- Claves privadas de ocho certificados intermedios de eMudhra comprometidas; navegadores y software aplican bloqueos de emergencia
Fuente: ISPConfig
