El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad de emergencia para dos fallos críticos en el propio PHP, registrados como CVE-2026-109618 y CVE-2026-109619 y conocidos popularmente como PHP2Shell. Ambos tienen una puntuación de 9.2 en CVSS v4.0, ambos pueden ser activados por un visitante sin autenticar y desde entonces se han reportado ataques reales. Si tu sitio web funciona con PHP, como la mayoría de los sitios WordPress, Drupal, Joomla, Magento y Laravel, esta guía te explica en qué consisten los fallos, cómo saber si te afectan y qué hacer hoy mismo.
¿Tu sitio web está afectado?
Nuestro verificador gratuito de PHP2Shell lee la versión de PHP que informa tu servidor y la compara con las versiones corregidas. Envía una única solicitud inofensiva y tarda unos segundos.
¿Qué es PHP2Shell?
PHP2Shell es el nombre que reciben dos errores de seguridad de memoria relacionados en el núcleo de PHP, el motor que ejecuta tu código en el servidor. Los reportaron investigadores de Calif, Wiz y OpenAI, y el equipo de seguridad de PHP los corrigió en una publicación coordinada.
- CVE-2026-109618 (corrupción por falta de memoria). Si una solicitud alcanza el límite de memoria de PHP en el momento equivocado, PHP puede dejar datos parcialmente inicializados que su código de limpieza trata después como válidos.
- CVE-2026-109619 (estado obsoleto tras un error fatal). Un error fatal puede dejar estado interno apuntando a memoria de una solicitud anterior, que una solicitud posterior atendida por el mismo proceso de PHP puede reutilizar.
Los investigadores demostraron que una solicitud especialmente diseñada puede convertir estos errores en ejecución remota de código, es decir, en ejecutar el propio código del atacante en tu servidor. La PHP Foundation lo confirmó en Apache con mod_php usando la configuración predeterminada, y en PHP-FPM a través de rutas de código de las aplicaciones. Cloudflare también menciona la denegación de servicio y la exposición de datos como posibles consecuencias.
Por qué tu propio código no te protege
El fallo está en PHP, no en tu tema, tus plugins ni tu aplicación. El código vulnerable se ejecuta mientras PHP procesa la solicitud, así que un sitio puede quedar expuesto aunque su propio código sea totalmente seguro. Por eso actualizar WordPress o tus plugins no basta por sí solo: hay que actualizar el entorno de ejecución de PHP del servidor.
¿Qué versiones de PHP están afectadas?
| Rama de PHP | Afectada | Corregida en |
|---|---|---|
| 8.5 | Antes de 8.5.12 | 8.5.12 |
| 8.4 | Antes de 8.4.27 | 8.4.27 |
| 8.3 | Antes de 8.3.36 | 8.3.36 |
| 8.2 | Antes de 8.2.35 | 8.2.35 |
| 7.4 a 8.1 | Sí | Sin versión oficial; solo parches de código fuente |
| 5.4 a 7.3 | Sí | Fin de vida útil, sin corrección |
Las distribuciones de Linux y los proveedores de soporte a largo plazo recibieron los parches por adelantado, así que el paquete de PHP de tu sistema operativo puede incluir la corrección con su propio número de versión. Consulta el aviso de seguridad de tu proveedor si usas PHP empaquetado de Debian, Ubuntu, Red Hat o similares.
¿Se está explotando PHP2Shell?
En el momento de la publicación, el equipo de PHP dijo que no había visto exploits funcionales. Eso cambió rápidamente:
- Amazon reportó su primer intento de explotación el 17 de octubre, cuatro días antes de la divulgación, y más tarde describió intentos generalizados en ataques reales.
- El 24 de octubre, un investigador reportó que honeypots con PHP 8.4.26 habían sido explotados con éxito.
- El 26 de octubre, la CISA añadió ambos CVE a su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities).
Considera en riesgo desde ya cualquier servidor PHP sin parchear y expuesto a internet.
Cómo comprobar tu versión de PHP
- Usa nuestro verificador. php2shell.reguweb.com lee la versión que tu servidor informa en sus cabeceras de respuesta y te dice si parece afectada, corregida o si el resultado no es concluyente.
- En WordPress, ve a Herramientas → Salud del sitio → Información → Servidor para ver la versión de PHP.
- En el panel de control de tu hosting, busca “Versión de PHP” o “Configuración de PHP”.
- En un servidor que administres tú, ejecuta
php -vy comprueba la versión que usa tu servidor web o PHP-FPM, que puede ser distinta de la de la línea de comandos.
Muchos servidores ocultan su versión de PHP, así que un resultado limpio o no concluyente de cualquier comprobación externa es una señal, no una prueba. Confirma la versión instalada con tu proveedor de hosting.
Qué hacer ahora
- Actualiza PHP. Pasa a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o posterior, o al paquete corregido de tu proveedor. Es la única solución completa. Si usas PHP 8.1 o anterior, planifica el paso a una rama con soporte.
- Reinicia PHP. Actualizar los paquetes no corrige los procesos que ya están en ejecución. Reinicia PHP-FPM, Apache u otros procesos de PHP después de la actualización.
- Pide ayuda a tu hosting si no puedes actualizar tú mismo. En el hosting compartido o administrado, el proveedor controla PHP. Pídele que confirme que la actualización de seguridad está instalada.
- Aplica mitigaciones temporales solo mientras parcheas. PHP publicó soluciones alternativas de configuración, como desactivar
session.upload_progress.enabled, que reducen la exposición pero no son una solución completa. Aplícalas con tu hosting o tu desarrollador, y mantén desactivado el progreso de subida después de parchear hasta la próxima versión regular, que también cubre la vulnerabilidad relacionada CVE-2026-115560. - Activa la protección WAF. Cloudflare implementó reglas administradas para estos fallos en sus planes gratuitos y de pago. Un firewall de aplicaciones web te da tiempo, pero no sustituye la actualización.
- Busca señales de compromiso. Si tu servidor estaba sin parchear y expuesto, revisa si hay archivos nuevos o modificados, usuarios administradores desconocidos o tráfico saliente inusual, o pide a un especialista que lo revise.
¿Y WordPress y otros CMS?
Los investigadores demostraron ataques contra WordPress, Drupal, Joomla, Magento, MediaWiki, Laravel y Symfony, pero el CMS es solo un objetivo representativo: la explotación no depende de una aplicación concreta. Mantén WordPress y tus plugins actualizados como siempre, y asegúrate de que la versión de PHP que hay debajo también esté parcheada.
Preguntas frecuentes
¿PHP2Shell afecta a mi sitio si solo muestra una página sencilla?
Sí, potencialmente. El fallo está en el entorno de ejecución de PHP, así que cualquier página servida por una versión de PHP afectada puede ser una puerta de entrada.
¿Revisar mi sitio con php2shell.reguweb.com puede dañarlo?
No. El verificador envía una única solicitud HEAD (o GET si HEAD no funciona) y lee las cabeceras de respuesta. Nunca envía nada que pueda activar la vulnerabilidad.
Mi hosting dice que PHP está actualizado, pero la cabecera de versión muestra un número antiguo. ¿Quién tiene razón?
Puede que tu hosting haya instalado un paquete del proveedor que incluye la corrección con un número de versión aparentemente más antiguo, o que la cabecera esté en caché u oculta. Pide a tu hosting que confirme que los parches de PHP2Shell están aplicados.
¿Basta con un firewall?
No. Las reglas WAF reducen el riesgo mientras parcheas, pero solo actualizar PHP elimina la vulnerabilidad.
Revisa tu sitio y deja que te ayudemos
Ejecuta la comprobación gratuita de PHP2Shell para saber en qué situación está tu servidor. Si está afectado, los expertos de Reguweb pueden actualizar PHP de forma segura sin tiempo de inactividad y revisar tu sitio en busca de señales de compromiso.
Ejecutar la comprobación gratuita de PHP2Shell
¿Prefieres hablar primero? Contacta con nuestro equipo.
Fuentes
En esta página
¿Tu sitio web cumple la normativa?
Obtén tus puntuaciones WCAG 2.2 y SEO en unos 60 segundos. Sin registro.
