El 21 de octubre de 2026, el equipo de PHP publicó correcciones de emergencia para dos fallos críticos en el propio motor de PHP. Se conocen como PHP2Shell, tienen los identificadores CVE-2026-109618 y CVE-2026-109619 y una puntuación de gravedad de 9,2 sobre 10. Si tu web funciona con PHP, y la mayoría lo hace, este artículo es para ti.
Qué es PHP2Shell, en lenguaje sencillo
PHP es el lenguaje detrás de una enorme parte de internet: WordPress, WooCommerce, PrestaShop, Joomla, Drupal y miles de webs a medida. Los dos fallos no están en un plugin ni en un tema. Están en el propio PHP, en la forma en que gestiona la memoria cuando una petición termina de forma anómala.
En la práctica, un atacante sin contraseña y sin cuenta puede enviar una petición preparada a propósito y hacer que el servidor ejecute su código. En la configuración más expuesta (Apache con mod_php), el equipo de PHP demostró que basta una sola petición, y que el ataque ocurre antes de que el código de la web empiece siquiera a ejecutarse. Es decir: da igual que tu WordPress esté actualizado. Si el PHP del servidor no lo está, la web está expuesta.
Quién está afectado
Todas las instalaciones de PHP que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
PHP 8.1 y anteriores ya no reciben correcciones oficiales. Algunas distribuciones de Linux han publicado sus propios parches, pero quien sigue en PHP 7 debe migrar.
Ya se está explotando
No es un riesgo teórico. El honeypot de Amazon registró un intento de explotación el 17 de octubre, cuatro días antes de que existieran las correcciones. Cloudflare confirmó ataques a los dos fallos justo después de su divulgación. El centro de ciberseguridad del Reino Unido (NCSC) y el CERT-EU recomendaron desconectar los sistemas que no puedan corregirse de inmediato.
Qué hacer, por orden
Saber qué versión de PHP usa tu web. En WordPress está en Herramientas > Salud del sitio > Información > Servidor. En el panel del alojamiento (cPanel, Plesk) suele aparecer en la página de inicio.
Actualizar a una versión corregida. Si el alojamiento es compartido, quien actualiza es el proveedor. Pregúntale por escrito si ya ha aplicado las correcciones de PHP2Shell (CVE-2026-109618 y CVE-2026-109619).
Si no se puede actualizar ya, hay medidas temporales que reducen el riesgo, como desactivar
session.upload_progress. El propio equipo de PHP avisa de que ninguna protege por completo: la única corrección definitiva es la actualización.Si la web está detrás de Cloudflare, hay reglas de cortafuegos contra los ataques conocidos, también en el plan gratuito. Ayudan, pero son temporales y no sustituyen a la actualización.
Después de actualizar, comprobar si hubo intrusión: archivos PHP extraños en las carpetas de subidas, administradores que nadie creó, cambios recientes que nadie hizo.
Lo que hicimos en las webs de JoaoDG
En los servidores que gestionamos, el PHP de todas las webs ya estaba en una versión corregida el 23 de octubre, dos días después de la divulgación. También revisamos los ajustes que recomienda el equipo de PHP, actualizamos WordPress, los plugins y los temas, y buscamos señales de intrusión. No encontramos ninguna.
La lección es la de siempre: una web no es un cuadro que se cuelga en la pared. Cada semana aparecen fallos, y lo que protege a un negocio no es tener la web más bonita, es tener a alguien que se ocupe de las actualizaciones antes de que lleguen los atacantes.
¿No sabes en qué versión está tu web, o quién la actualiza? Habla con nosotros y lo comprobamos contigo.
Fuentes: BleepingComputer, Help Net Security. Imagen: Wikimedia Commons, dominio público (CC0).