Portworx Backup 2.11.1 parchea PHP2Shell en el backend de su consola on-prem
Portworx Backup 2.11.1 actualiza a PHP 8.2.35 la imagen pxcentral-onprem-ui-backend en instalaciones on-prem de PX-Central. El anuncio limita el cambio a seguridad y delimita el componente afectado.
Portworx publicó Backup 2.11.1 el 24 de octubre para corregir dos fallos que afectan al backend de la interfaz local de PX-Central. El paquete actualiza la imagen pxcentral-onprem-ui-backend a PHP 8.2.35, la versión upstream que corrige CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell. Portworx especifica que es una actualización de seguridad y que no incorpora cambios funcionales.
La precisión del componente importa porque no es un parche genérico para cualquier instalación PHP. El aviso se refiere a las instalaciones on-prem de PX-Central/Portworx Backup y a su imagen de backend; no afirma que todos los servicios Portworx, despliegues gestionados o productos que usen PHP compartan la misma superficie vulnerable. La nota tampoco describe cambios en el formato de las copias ni en la compatibilidad de los repositorios.
-InfraCrew dice: La consola administra el trabajo de backup, pero eso no convierte automáticamente cada repositorio en vulnerable; el alcance empieza por la imagen que el fabricante identifica.-
Dos defectos del runtime, una actualización del producto
La autoridad japonesa IPA describe dos vulnerabilidades en PHP: una en el tratamiento de errores por falta de memoria y otra relacionada con el procesamiento de solicitudes. La explotación puede permitir que un tercero remoto ejecute código en sistemas que usen versiones afectadas. Esto describe los defectos upstream de PHP; el anuncio de Portworx delimita el producto afectado al backend de su interfaz on-prem.
El número de versión ayuda a comprobar el resultado: PHP 8.2.35 corrige estos fallos en la rama 8.2, junto con versiones específicas para las ramas 8.3, 8.4 y 8.5. Portworx incluye el runtime corregido en la versión 2.11.1 de su producto. Por eso, instalar PHP directamente en el host sin actualizar el componente empaquetado no demuestra que la imagen de la consola haya cambiado.
-InfraCrew dice: En una instalación que distribuye su propio contenedor, actualizar el PHP del nodo puede dejar intacta la imagen que realmente atiende la petición.-
Qué comprobar en una instalación on-prem
Primero hay que confirmar si el entorno ejecuta Portworx Backup on-prem y qué versión de PX-Central está desplegada. Si la interfaz utiliza una versión anterior a 2.11.1, el aviso del fabricante proporciona una ruta concreta: llevar el producto a la versión que incorpora PHP 8.2.35 mediante el procedimiento de actualización soportado para esa instalación. La nota disponible no publica comandos ni pide modificar manualmente el runtime del host, así que conviene evitar atajos que el fabricante no documenta.
Después del cambio, confirma que la imagen pxcentral-onprem-ui-backend corresponde al release actualizado y que la consola vuelve a operar con normalidad. Comprueba también que las tareas de protección continúan ejecutándose y que una restauración de prueba sigue siendo posible. Esa revisión no implica que la actualización modifique los datos de backup; sirve para detectar a tiempo una regresión en el plano de administración, que es lo que la nota identifica.
La ausencia de cambios funcionales puede hacer que el parche parezca rutinario, pero la interfaz forma parte del perímetro de recuperación. Un panel de gestión comprometido podría afectar a la visibilidad o administración de las copias aunque los datos residan en otra capa. El aviso no aporta evidencia de explotación específica contra Portworx Backup ni declara que una instalación haya sido comprometida; la respuesta adecuada es determinar si el componente está presente, aplicar la versión indicada y validar después la operación de backup y restore.
-InfraCrew dice: Un parche sin una restauración comprobada sigue siendo un cambio aplicado; todavía no es evidencia de recuperación.-
Diccionario de la Crew
PHP2Shell — Nombre usado para el conjunto de CVE-2026-109618 y CVE-2026-109619 en el runtime PHP.
