El 21 de octubre, PHP publicó parches para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como «php2shell». Permiten que alguien ejecute código en tu servidor con una simple petición web, sin usuario ni contraseña. Si tu web funciona con WordPress, Drupal, Laravel o PHP a medida, te afecta.
- Una petición desde internet
- PHPTu PHP sin actualizar
- Código ajeno en tu servidor
Qué ha pasado
PHP es el lenguaje con el que funciona una gran parte de la web. El 20 de octubre, su equipo de seguridad avisó de que publicaría una actualización urgente para corregir dos fallos críticos. Ese mismo día se filtraron detalles antes de tiempo, así que PHP adelantó un día los parches, que llegaron el 21.
El primer fallo está en cómo PHP gestiona la memoria cuando se queda sin ella al procesar una petición, por ejemplo una subida de archivos. El segundo deja restos de una petición anterior que el atacante aprovecha en la siguiente.
Lo importante para ti: PHP procesa la petición maliciosa antes de que se ejecute el código de tu web. Por eso un formulario de acceso o un plugin de seguridad no frenan este ataque.
Ya hay ataques
Cuando CISA, la agencia de ciberseguridad de Estados Unidos, publicó su alerta, todavía no había observado ataques. Eso cambió en pocas horas: watchTowr detecta intentos contra ambos fallos, Cloudflare ve los primeros ataques y Amazon afirma que php2shell ya se explota de forma amplia. En Europa, la Comisión Europea, ENISA, CERT-EU, Europol y los equipos nacionales de respuesta a incidentes han pedido actuar de inmediato.
¿Está afectada tu web?
Probablemente sí, si usa PHP. Los fallos afectan a cualquier instalación de PHP que sirva páginas web, y se han demostrado tanto en Apache con mod_php como en PHP-FPM, las dos formas más habituales de ejecutarlo. Estas webs suelen funcionar con PHP:
- WordPress, WooCommerce, PrestaShop, Magento, Joomla y Drupal.
- Aplicaciones hechas con Laravel, Symfony o PHP a medida.
- Servidores cloud con imágenes preinstaladas, como LAMP o LEMP.
PHP a veces viene dentro de otro software, así que puede estar funcionando aunque nadie lo haya instalado a propósito.
Cómo saberlo en dos minutos
En un hosting gestionado, entra en el panel y busca «Versión de PHP». Si no lo encuentras, pregunta a soporte qué versión usa tu web y si ya han aplicado el parche del 21 de octubre. Si tu web la lleva una agencia o un desarrollador, pregúntale hoy.
Versiones con parche
Tu web está protegida si usa una de estas versiones, o una posterior de la misma rama:
- PHP 8.58.5.12
- PHP 8.48.4.27
- PHP 8.38.3.36
- PHP 8.28.2.35
¿Usas PHP 8.1 o anterior?
También está afectado, pero esas versiones ya no tienen soporte y no recibirán parche. Esto incluye PHP 8.1, 8.0, 7 y 5. La única solución es migrar a una versión soportada; mientras tanto, CISA recomienda desconectar esos sistemas. Migrar puede romper plugins o código antiguo, así que conviene probarlo antes en una copia de la web.
Qué hacer hoy
- Haz inventarioApunta todas las webs y aplicaciones con PHP, también las antiguas o las que casi no se usan. Empieza por las abiertas a internet.
- Actualiza PHPSube a la versión con parche de tu rama. Si tu hosting lo hace por ti, confirma que ya está aplicado.
- Reinicia el servicioReinicia PHP-FPM o Apache para que el servidor cargue la versión nueva. Si no, sigue funcionando la antigua.
- Comprueba la webRevisa la página de inicio, los formularios y, si tienes tienda, el proceso de compra.
- Vigila actividad extrañaPide que revisen si algún proceso de PHP ha lanzado comandos o descargado archivos que no debería.
Si no puedes actualizar todavía
El parche es la única solución completa. Mientras llega, estas medidas reducen el riesgo:
- Desconecta la web hasta poder actualizarla. Es lo que recomienda CISA para los sistemas que no se pueden parchear.
- Activa un firewall de aplicaciones web (WAF), como el de tu hosting o Cloudflare. Frena parte de los ataques, pero no sustituye al parche.
Para tu equipo técnico
Para CVE-2026-109618, fijar memory_limit a nivel de administrador para que las aplicaciones no puedan cambiarlo y limitar el tamaño de las peticiones en el servidor web o el proxy. Para CVE-2026-109619, desactivar session.upload_progress corta una de las vías de ataque confirmadas, aunque no protege frente al otro fallo. Ninguna de estas medidas sustituye a la actualización.
Preguntas frecuentes
¿Mi plugin de seguridad de WordPress me protege?
No. El ataque ocurre en PHP antes de que WordPress y sus plugins se carguen. Solo protege actualizar PHP.
Mi hosting dice que lo gestiona todo. ¿Tengo que hacer algo?
Sí: confirmarlo por escrito. Muchos proveedores están actualizando, pero no todos a la vez, y algunos han suspendido sus imágenes preinstaladas de PHP hasta tenerlas parcheadas.
¿Cómo sé si ya me han atacado?
No siempre es visible. Señales de alerta: archivos que nadie ha subido, administradores desconocidos, redirecciones extrañas o un servidor lento sin motivo. Si ves algo así, actualiza, cambia las contraseñas de acceso al servidor y pide una revisión técnica.
¿Por qué se llama «php2shell»?
Porque permite conseguir una «shell», una consola desde la que dar órdenes a tu servidor como si fuera del atacante.
Fuentes: PHP, aviso de seguridad (21/10/2026); CISA, «Critical Vulnerabilities in PHP Require Immediate Patching» (21/10/2026); Comisión Europea, ENISA, CERT-EU, Europol y red de CSIRT, comunicado conjunto (21/10/2026); watchTowr, Tenable, Datadog Security Labs y The Hacker News (21/10/2026).