{"id":7343,"date":"2026-10-22T08:55:05","date_gmt":"2026-10-22T08:55:05","guid":{"rendered":"https:\/\/holdmin.com\/?p=7343"},"modified":"2026-10-22T09:08:50","modified_gmt":"2026-10-22T09:08:50","slug":"php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web","status":"publish","type":"post","link":"https:\/\/holdmin.com\/en\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/","title":{"rendered":"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"7343\" class=\"elementor elementor-7343\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-287bf62 e-con e-atomic-element e-flexbox-base e-f352ffd \" data-id=\"287bf62\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"287bf62\" data-e-type=\"e-flexbox\" data-id=\"287bf62\">\n    \t\t<div class=\"elementor-element elementor-element-a211398 elementor-widget elementor-widget-html\" data-id=\"a211398\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<!--\n  T\u00edtulo sugerido (H1 del CMS): php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web\n  Meta description: Dos vulnerabilidades cr\u00edticas en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.\n  Categor\u00eda: News \u00b7 Dise\u00f1o y Desarrollo\n  Uso: pega todo este bloque en un bloque HTML del CMS. Los estilos van acotados a .hm-post y no tocan el resto de la web.\n  Solo hay H2 (con id) para el men\u00fa de scroll; los subt\u00edtulos son p\u00e1rrafos con estilo para que no entren en el \u00edndice. La numeraci\u00f3n 01, 02... la pone el CSS, as\u00ed el \u00edndice muestra el texto limpio.\n-->\n<link rel=\"stylesheet\" href=\"https:\/\/fonts.googleapis.com\/css2?family=Instrument+Serif:ital@0;1&amp;family=Inter:wght@400;500;600;700&amp;display=swap\">\n<style>\n.hm-post{--ink:#0A0905;--muted:#5E5752;--paper:#FDFCFC;--cream:#F5F3F1;--line:#DDD8D3;--dev:#E5317D;\n  font-family:Inter,system-ui,-apple-system,sans-serif;font-size:14px;line-height:1.65;color:var(--ink);max-width:none;width:100%;margin:0;padding:0;counter-reset:hmsec}\n.hm-post *{box-sizing:border-box}\n.hm-post p,.hm-post li,.hm-post summary,.hm-post figcaption{margin:0 0 1em}\n.hm-post p,.hm-post li{font-size:14px;line-height:1.65}\n.hm-post a{color:var(--ink);text-decoration-color:var(--dev);text-decoration-thickness:2px;text-underline-offset:3px}\n.hm-post a:hover{color:var(--dev)}\n.hm-post a:focus-visible,.hm-post summary:focus-visible{outline:3px solid var(--dev);outline-offset:3px;border-radius:4px}\n.hm-post code{font-family:inherit;font-weight:600;background:var(--cream);padding:.1em .4em;border-radius:6px;font-size:.92em}\n.hm-post strong{font-weight:600}\n\n.hm-post .hm-meta{display:flex;flex-wrap:wrap;gap:8px;margin:0 0 20px}\n.hm-post .hm-chip{font-size:11px;font-weight:600;padding:4px 12px;border-radius:999px;border:1.5px solid var(--ink);line-height:1.3}\n.hm-post .hm-chip--dev{background:var(--dev);border-color:var(--dev);color:#fff}\n.hm-post .hm-chip--plain{border-color:var(--line);font-weight:500;color:var(--muted)}\n.hm-post p.hm-lead{font-size:16px;line-height:1.55;margin-bottom:22px}\n\n\/* H2 numerado con la regla con topes del manual *\/\n.hm-post h2{counter-increment:hmsec;font-family:'Instrument Serif',Georgia,serif;font-weight:400;font-size:28px;line-height:1.1;letter-spacing:-.01em;\n  margin:44px 0 14px;padding-top:22px;border-top:1px solid var(--ink);position:relative;scroll-margin-top:96px}\n.hm-post h2::before{content:counter(hmsec,decimal-leading-zero);color:var(--dev);margin-right:.35em}\n.hm-post h2::after{content:\"\";position:absolute;top:-4px;left:-3px;right:-3px;height:7px;\n  background:radial-gradient(circle,var(--dev) 3.5px,transparent 4px) left center\/7px 7px no-repeat,\n             radial-gradient(circle,var(--dev) 3.5px,transparent 4px) right center\/7px 7px no-repeat}\n.hm-post p.hm-sub{font-family:'Instrument Serif',Georgia,serif;font-size:18px;line-height:1.2;margin:28px 0 8px}\n\n.hm-post figure.hm-audio{border:1.5px solid var(--line);border-radius:18px;padding:14px 16px 12px;margin:0 0 28px !important;background:var(--paper)}\n.hm-post .hm-audio figcaption{display:flex;align-items:center;gap:10px;font-size:13px;font-weight:600;font-style:normal;margin:0 0 10px;text-align:left}\n.hm-post .hm-audio-icon{width:28px;height:28px;border-radius:50%;background:var(--dev);color:#fff;display:inline-flex;align-items:center;justify-content:center;flex-shrink:0}\n.hm-post .hm-audio audio{display:block;width:100%;height:40px}\n\n\/* Esquema del ataque *\/\n.hm-post figure.hm-flow{background:var(--cream);border-radius:18px;padding:22px 22px 18px;margin:0 0 8px !important}\n.hm-post .hm-flow figcaption{font-size:12px;font-weight:600;font-style:normal;color:var(--muted);margin:0 0 16px;text-align:left}\n.hm-post .hm-flow ol{list-style:none;margin:0;padding:0;display:grid;grid-template-columns:1fr auto 1fr auto 1fr;align-items:start;gap:6px}\n.hm-post .hm-node{display:flex;flex-direction:column;align-items:center;text-align:center;gap:8px;font-size:12px;line-height:1.3;margin:0}\n.hm-post .hm-dot{width:52px;height:52px;border-radius:50%;border:1.5px solid var(--ink);background:var(--paper);display:flex;align-items:center;justify-content:center}\n.hm-post .hm-dot svg{width:24px;height:24px}\n.hm-post .hm-dot--php{background:var(--dev);border-color:var(--dev);color:#fff;font-weight:700;font-size:14px}\n.hm-post .hm-arrow{display:flex;flex-direction:column;align-items:center;gap:4px;padding-top:12px;color:var(--dev);font-size:10px;font-weight:700;min-width:72px;margin:0}\n.hm-post .hm-arrow svg{width:72px;height:14px}\n.hm-post .hm-score{display:flex;justify-content:space-between;align-items:baseline;gap:12px;border-top:1px solid var(--line);margin-top:16px;padding-top:12px;font-size:12px}\n.hm-post .hm-score span:last-child{white-space:nowrap;font-family:'Instrument Serif',Georgia,serif;font-size:26px;line-height:1}\n.hm-post .hm-score b{font-weight:400;color:var(--dev)}\n\n.hm-post .hm-alert{border:1.5px solid var(--dev);border-radius:16px;padding:18px 22px;margin:22px 0;background:var(--paper)}\n.hm-post .hm-alert .hm-sub{margin-top:0;color:var(--dev)}\n.hm-post .hm-alert p:last-child{margin-bottom:0}\n\n.hm-post ul.hm-list{list-style:none;padding:0;margin:0 0 1em}\n.hm-post ul.hm-list li{position:relative;padding-left:22px;margin-bottom:8px}\n.hm-post ul.hm-list li::before{content:\"\";position:absolute;left:4px;top:.62em;width:7px;height:7px;border-radius:50%;background:var(--dev)}\n\n.hm-post .hm-versions{display:grid;grid-template-columns:repeat(4,1fr);gap:10px;margin:16px 0 8px;padding:0;list-style:none}\n.hm-post .hm-versions li{background:var(--cream);border-radius:14px;padding:14px 14px 12px;display:flex;flex-direction:column;gap:2px;margin:0}\n.hm-post .hm-versions span{font-size:11px;color:var(--muted)}\n.hm-post .hm-versions strong{font-family:'Instrument Serif',Georgia,serif;font-weight:400;font-size:24px;line-height:1.05;color:var(--dev);font-variant-numeric:tabular-nums}\n\n.hm-post ol.hm-steps{list-style:none;padding:0;margin:8px 0 0;counter-reset:s;border-top:1px solid var(--line)}\n.hm-post ol.hm-steps li{counter-increment:s;display:grid;grid-template-columns:36px 1fr;gap:8px;padding:12px 0;border-bottom:1px solid var(--line);margin:0}\n.hm-post ol.hm-steps li::before{content:counter(s);font-family:'Instrument Serif',Georgia,serif;font-size:24px;line-height:1;color:var(--dev)}\n.hm-post ol.hm-steps strong{display:block;font-size:14px;margin-bottom:2px}\n\n.hm-post .hm-tech{background:var(--cream);border-radius:16px;padding:18px 22px;margin:22px 0}\n.hm-post .hm-tech .hm-sub{margin-top:0}\n.hm-post .hm-tech p:last-child{margin-bottom:0}\n\n.hm-post .hm-faq details{border-bottom:1px solid var(--line)}\n.hm-post .hm-faq summary{list-style:none;cursor:pointer;display:flex;justify-content:space-between;align-items:center;gap:16px;padding:12px 0;\n  font-family:'Instrument Serif',Georgia,serif;font-size:17px;line-height:1.25}\n.hm-post .hm-faq summary::-webkit-details-marker{display:none}\n.hm-post .hm-faq summary::after{content:\"+\";font-family:Inter,sans-serif;font-size:18px;color:var(--dev);flex-shrink:0;transition:transform .2s}\n.hm-post .hm-faq details[open] summary::after{transform:rotate(45deg)}\n.hm-post .hm-faq details p{margin:0 0 16px}\n\n\n.hm-post p.hm-sources{font-size:12px;line-height:1.55;color:var(--muted);border-top:1px solid var(--line);padding-top:14px}\n\n@media (max-width:640px){\n  .hm-post h2{font-size:24px}\n  .hm-post .hm-flow ol{grid-template-columns:1fr;justify-items:center;gap:2px}\n  .hm-post .hm-arrow{position:relative;width:100%;height:34px;padding:0;min-width:0;display:block}\n  .hm-post .hm-arrow svg{display:none}\n  .hm-post .hm-arrow::before{content:\"\";position:absolute;left:50%;top:4px;height:20px;border-left:2px dashed var(--dev);transform:translateX(-1px)}\n  .hm-post .hm-arrow::after{content:\"\";position:absolute;left:50%;top:22px;width:7px;height:7px;border-right:2px solid var(--dev);border-bottom:2px solid var(--dev);transform:translateX(-50%) rotate(45deg)}\n  .hm-post .hm-arrow span{position:absolute;left:calc(50% + 14px);top:9px;white-space:nowrap}\n  .hm-post .hm-node{gap:6px}\n  .hm-post .hm-score{align-items:center}\n  .hm-post .hm-versions{grid-template-columns:repeat(2,1fr)}\n}\n@media (prefers-reduced-motion:reduce){.hm-post .hm-faq summary::after{transition:none}}\n<\/style>\n\n<article class=\"hm-post\">\n\n<div class=\"hm-meta\">\n  <span class=\"hm-chip\">News<\/span>\n  <span class=\"hm-chip hm-chip--dev\">Dise\u00f1o y Dev<\/span>\n  <span class=\"hm-chip hm-chip--plain\">Actualizado el 22 de octubre de 2026<\/span>\n<\/div>\n\n<p class=\"hm-lead\">El 21 de octubre, PHP public\u00f3 parches para dos vulnerabilidades cr\u00edticas, CVE-2026-109618 y CVE-2026-109619, conocidas como \u00abphp2shell\u00bb. Permiten que alguien ejecute c\u00f3digo en tu servidor con una simple petici\u00f3n web, sin usuario ni contrase\u00f1a. Si tu web funciona con WordPress, Drupal, Laravel o PHP a medida, te afecta.<\/p>\n\n<figure class=\"hm-audio\">\n  <figcaption><span class=\"hm-audio-icon\" aria-hidden=\"true\"><svg viewBox=\"0 0 24 24\" width=\"16\" height=\"16\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"><path d=\"M11 5 6 9H3v6h3l5 4z\"\/><path d=\"M15.5 8.5a5 5 0 0 1 0 7\"\/><path d=\"M18.5 5.5a9 9 0 0 1 0 13\"\/><\/svg><\/span>Escucha el resumen en minuto y medio<\/figcaption>\n  <audio src=\"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/ElevenLabs_2026-10-22T09_02_40_TMC_ivc_sp86_s80_sb100_v4.mp3\" controls preload=\"metadata\"><\/audio>\n<\/figure>\n\n<figure class=\"hm-flow\">\n  <figcaption>C\u00f3mo funciona el ataque<\/figcaption>\n  <ol>\n    <li class=\"hm-node\"><span class=\"hm-dot\"><svg aria-hidden=\"true\" width=\"44\" height=\"44\" viewBox=\"0 0 24 24\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"1.6\" stroke-linecap=\"round\" stroke-linejoin=\"round\"><circle cx=\"12\" cy=\"12\" r=\"9\"\/><path d=\"M3 12h18\"\/><path d=\"M12 3c2.5 2.6 3.8 5.6 3.8 9s-1.3 6.4-3.8 9c-2.5-2.6-3.8-5.6-3.8-9S9.5 5.6 12 3z\"\/><\/svg><\/span>Una petici\u00f3n desde internet<\/li>\n    <li class=\"hm-arrow\" aria-hidden=\"true\"><span>Sin contrase\u00f1a<\/span><svg viewBox=\"0 0 96 18\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"2.5\"><line x1=\"2\" y1=\"9\" x2=\"84\" y2=\"9\" stroke-dasharray=\"7 6\"\/><path d=\"M82 2l10 7-10 7\" stroke-linejoin=\"round\"\/><\/svg><\/li>\n    <li class=\"hm-node\"><span class=\"hm-dot hm-dot--php\">PHP<\/span>Tu PHP sin actualizar<\/li>\n    <li class=\"hm-arrow\" aria-hidden=\"true\"><span>Ejecuta<\/span><svg viewBox=\"0 0 96 18\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"2.5\"><line x1=\"2\" y1=\"9\" x2=\"84\" y2=\"9\" stroke-dasharray=\"7 6\"\/><path d=\"M82 2l10 7-10 7\" stroke-linejoin=\"round\"\/><\/svg><\/li>\n    <li class=\"hm-node\"><span class=\"hm-dot\"><svg aria-hidden=\"true\" width=\"44\" height=\"44\" viewBox=\"0 0 24 24\" fill=\"none\" stroke=\"currentColor\" stroke-width=\"1.6\" stroke-linecap=\"round\" stroke-linejoin=\"round\"><rect x=\"4\" y=\"3.5\" width=\"16\" height=\"7\" rx=\"1.5\"\/><rect x=\"4\" y=\"13.5\" width=\"16\" height=\"7\" rx=\"1.5\"\/><path d=\"M8 7h.01M8 17h.01M12 7h4M12 17h4\"\/><\/svg><\/span>C\u00f3digo ajeno en tu servidor<\/li>\n  <\/ol>\n  <div class=\"hm-score\"><span>Gravedad de cada fallo (CVSS 4.0)<\/span><span><b>9,2<\/b> \/ 10<\/span><\/div>\n<\/figure>\n\n<h2 id=\"que-ha-pasado\">Qu\u00e9 ha pasado<\/h2>\n\n<p>PHP es el lenguaje con el que funciona una gran parte de la web. El 20 de octubre, su equipo de seguridad avis\u00f3 de que publicar\u00eda una actualizaci\u00f3n urgente para corregir dos fallos cr\u00edticos. Ese mismo d\u00eda se filtraron detalles antes de tiempo, as\u00ed que PHP adelant\u00f3 un d\u00eda los parches, que llegaron el 21.<\/p>\n\n<p>El primer fallo est\u00e1 en c\u00f3mo PHP gestiona la memoria cuando se queda sin ella al procesar una petici\u00f3n, por ejemplo una subida de archivos. El segundo deja restos de una petici\u00f3n anterior que el atacante aprovecha en la siguiente.<\/p>\n\n<p>Lo importante para ti: PHP procesa la petici\u00f3n maliciosa antes de que se ejecute el c\u00f3digo de tu web. Por eso un formulario de acceso o un plugin de seguridad no frenan este ataque.<\/p>\n\n<div class=\"hm-alert\">\n  <p class=\"hm-sub\">Ya hay ataques<\/p>\n  <p>Cuando CISA, la agencia de ciberseguridad de Estados Unidos, public\u00f3 su alerta, todav\u00eda no hab\u00eda observado ataques. Eso cambi\u00f3 en pocas horas: watchTowr detecta intentos contra ambos fallos, Cloudflare ve los primeros ataques y Amazon afirma que php2shell ya se explota de forma amplia. En Europa, la Comisi\u00f3n Europea, ENISA, CERT-EU, Europol y los equipos nacionales de respuesta a incidentes han pedido actuar de inmediato.<\/p>\n<\/div>\n\n<h2 id=\"esta-afectada-tu-web\">\u00bfEst\u00e1 afectada tu web?<\/h2>\n\n<p>Probablemente s\u00ed, si usa PHP. Los fallos afectan a cualquier instalaci\u00f3n de PHP que sirva p\u00e1ginas web, y se han demostrado tanto en Apache con mod_php como en PHP-FPM, las dos formas m\u00e1s habituales de ejecutarlo. Estas webs suelen funcionar con PHP:<\/p>\n\n<ul class=\"hm-list\">\n  <li>WordPress, WooCommerce, PrestaShop, Magento, Joomla y Drupal.<\/li>\n  <li>Aplicaciones hechas con Laravel, Symfony o PHP a medida.<\/li>\n  <li>Servidores cloud con im\u00e1genes preinstaladas, como LAMP o LEMP.<\/li>\n<\/ul>\n\n<p>PHP a veces viene dentro de otro software, as\u00ed que puede estar funcionando aunque nadie lo haya instalado a prop\u00f3sito.<\/p>\n\n<p class=\"hm-sub\">C\u00f3mo saberlo en dos minutos<\/p>\n\n<p>En un hosting gestionado, entra en el panel y busca \u00abVersi\u00f3n de PHP\u00bb. Si no lo encuentras, pregunta a soporte qu\u00e9 versi\u00f3n usa tu web y si ya han aplicado el parche del 21 de octubre. Si tu web la lleva una agencia o un desarrollador, preg\u00fantale hoy.<\/p>\n\n<h2 id=\"versiones-seguras\">Versiones con parche<\/h2>\n\n<p>Tu web est\u00e1 protegida si usa una de estas versiones, o una posterior de la misma rama:<\/p>\n\n<ul class=\"hm-versions\">\n  <li><span>PHP 8.5<\/span><strong>8.5.12<\/strong><\/li>\n  <li><span>PHP 8.4<\/span><strong>8.4.27<\/strong><\/li>\n  <li><span>PHP 8.3<\/span><strong>8.3.36<\/strong><\/li>\n  <li><span>PHP 8.2<\/span><strong>8.2.35<\/strong><\/li>\n<\/ul>\n\n<div class=\"hm-alert\">\n  <p class=\"hm-sub\">\u00bfUsas PHP 8.1 o anterior?<\/p>\n  <p>Tambi\u00e9n est\u00e1 afectado, pero esas versiones ya no tienen soporte y no recibir\u00e1n parche. Esto incluye PHP 8.1, 8.0, 7 y 5. La \u00fanica soluci\u00f3n es migrar a una versi\u00f3n soportada; mientras tanto, CISA recomienda desconectar esos sistemas. Migrar puede romper plugins o c\u00f3digo antiguo, as\u00ed que conviene probarlo antes en una copia de la web.<\/p>\n<\/div>\n\n<h2 id=\"que-hacer-hoy\">Qu\u00e9 hacer hoy<\/h2>\n\n<ol class=\"hm-steps\">\n  <li><div><strong>Haz inventario<\/strong>Apunta todas las webs y aplicaciones con PHP, tambi\u00e9n las antiguas o las que casi no se usan. Empieza por las abiertas a internet.<\/div><\/li>\n  <li><div><strong>Actualiza PHP<\/strong>Sube a la versi\u00f3n con parche de tu rama. Si tu hosting lo hace por ti, confirma que ya est\u00e1 aplicado.<\/div><\/li>\n  <li><div><strong>Reinicia el servicio<\/strong>Reinicia PHP-FPM o Apache para que el servidor cargue la versi\u00f3n nueva. Si no, sigue funcionando la antigua.<\/div><\/li>\n  <li><div><strong>Comprueba la web<\/strong>Revisa la p\u00e1gina de inicio, los formularios y, si tienes tienda, el proceso de compra.<\/div><\/li>\n  <li><div><strong>Vigila actividad extra\u00f1a<\/strong>Pide que revisen si alg\u00fan proceso de PHP ha lanzado comandos o descargado archivos que no deber\u00eda.<\/div><\/li>\n<\/ol>\n\n<h2 id=\"si-no-puedes-actualizar\">Si no puedes actualizar todav\u00eda<\/h2>\n\n<p>El parche es la \u00fanica soluci\u00f3n completa. Mientras llega, estas medidas reducen el riesgo:<\/p>\n\n<ul class=\"hm-list\">\n  <li><strong>Desconecta la web<\/strong> hasta poder actualizarla. Es lo que recomienda CISA para los sistemas que no se pueden parchear.<\/li>\n  <li><strong>Activa un firewall de aplicaciones web (WAF)<\/strong>, como el de tu hosting o Cloudflare. Frena parte de los ataques, pero no sustituye al parche.<\/li>\n<\/ul>\n\n<div class=\"hm-tech\">\n  <p class=\"hm-sub\">Para tu equipo t\u00e9cnico<\/p>\n  <p>Para CVE-2026-109618, fijar <code>memory_limit<\/code> a nivel de administrador para que las aplicaciones no puedan cambiarlo y limitar el tama\u00f1o de las peticiones en el servidor web o el proxy. Para CVE-2026-109619, desactivar <code>session.upload_progress<\/code> corta una de las v\u00edas de ataque confirmadas, aunque no protege frente al otro fallo. Ninguna de estas medidas sustituye a la actualizaci\u00f3n.<\/p>\n<\/div>\n\n<h2 id=\"preguntas-frecuentes\">Preguntas frecuentes<\/h2>\n\n<div class=\"hm-faq\">\n  <details>\n    <summary>\u00bfMi plugin de seguridad de WordPress me protege?<\/summary>\n    <p>No. El ataque ocurre en PHP antes de que WordPress y sus plugins se carguen. Solo protege actualizar PHP.<\/p>\n  <\/details>\n  <details>\n    <summary>Mi hosting dice que lo gestiona todo. \u00bfTengo que hacer algo?<\/summary>\n    <p>S\u00ed: confirmarlo por escrito. Muchos proveedores est\u00e1n actualizando, pero no todos a la vez, y algunos han suspendido sus im\u00e1genes preinstaladas de PHP hasta tenerlas parcheadas.<\/p>\n  <\/details>\n  <details>\n    <summary>\u00bfC\u00f3mo s\u00e9 si ya me han atacado?<\/summary>\n    <p>No siempre es visible. Se\u00f1ales de alerta: archivos que nadie ha subido, administradores desconocidos, redirecciones extra\u00f1as o un servidor lento sin motivo. Si ves algo as\u00ed, actualiza, cambia las contrase\u00f1as de acceso al servidor y pide una revisi\u00f3n t\u00e9cnica.<\/p>\n  <\/details>\n  <details>\n    <summary>\u00bfPor qu\u00e9 se llama \u00abphp2shell\u00bb?<\/summary>\n    <p>Porque permite conseguir una \u00abshell\u00bb, una consola desde la que dar \u00f3rdenes a tu servidor como si fuera del atacante.<\/p>\n  <\/details>\n<\/div>\n\n\n<p class=\"hm-sources\"><strong>Fuentes:<\/strong> PHP, aviso de seguridad (21\/10\/2026); CISA, \u00abCritical Vulnerabilities in PHP Require Immediate Patching\u00bb (21\/10\/2026); Comisi\u00f3n Europea, ENISA, CERT-EU, Europol y red de CSIRT, comunicado conjunto (21\/10\/2026); watchTowr, Tenable, Datadog Security Labs y The Hacker News (21\/10\/2026).<\/p>\n\n<\/article>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>El 21 de octubre, PHP public\u00f3 parches para dos vulnerabilidades cr\u00edticas, CVE-2026-109618 y CVE-2026-109619, conocidas como \u00abphp2shell\u00bb. Permiten que alguien ejecute c\u00f3digo en tu servidor con una simple petici\u00f3n web, sin usuario ni contrase\u00f1a. Si tu web funciona con WordPress, Drupal, Laravel o PHP a medida, te afecta.<\/p>","protected":false},"author":2,"featured_media":7346,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-7343","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.1 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae<\/title>\n<meta name=\"description\" content=\"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/holdmin.com\/en\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae\" \/>\n<meta property=\"og:description\" content=\"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/holdmin.com\/en\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/\" \/>\n<meta property=\"og:site_name\" content=\"Holdmin \u00ae\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-22T08:55:05+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-22T09:08:50+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2-1024x1024.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1024\" \/>\n\t<meta property=\"og:image:height\" content=\"1024\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Toni Masero\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Toni Masero\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"5 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/\"},\"author\":{\"name\":\"Toni Masero\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/#\\\/schema\\\/person\\\/84a60e20e5cc618abdcba95433c24d77\"},\"headline\":\"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web\",\"datePublished\":\"2026-10-22T08:55:05+00:00\",\"dateModified\":\"2026-10-22T09:08:50+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/\"},\"wordCount\":986,\"publisher\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/portada-blog-php2shell-1600x1600-2.png\",\"articleSection\":[\"Noticias\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/\",\"url\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/\",\"name\":\"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/portada-blog-php2shell-1600x1600-2.png\",\"datePublished\":\"2026-10-22T08:55:05+00:00\",\"dateModified\":\"2026-10-22T09:08:50+00:00\",\"description\":\"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\\\/#primaryimage\",\"url\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/portada-blog-php2shell-1600x1600-2.png\",\"contentUrl\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/portada-blog-php2shell-1600x1600-2.png\",\"width\":1600,\"height\":1600},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/#website\",\"url\":\"https:\\\/\\\/holdmin.com\\\/\",\"name\":\"Holdmin \u00ae\",\"description\":\"Consultor\u00eda de Negocios para Empresas, PYMEs y Aut\u00f3nomos\",\"publisher\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/holdmin.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/#organization\",\"name\":\"Holdmin \u00ae\",\"url\":\"https:\\\/\\\/holdmin.com\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2022\\\/12\\\/Holdmin_negativo.svg\",\"contentUrl\":\"https:\\\/\\\/holdmin.com\\\/wp-content\\\/uploads\\\/2022\\\/12\\\/Holdmin_negativo.svg\",\"width\":987,\"height\":270,\"caption\":\"Holdmin \u00ae\"},\"image\":{\"@id\":\"https:\\\/\\\/holdmin.com\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/holdmin\\\/\",\"https:\\\/\\\/instagram.com\\\/holdmin.corp\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/holdmin.com\\\/#\\\/schema\\\/person\\\/84a60e20e5cc618abdcba95433c24d77\",\"name\":\"Toni Masero\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g\",\"caption\":\"Toni Masero\"},\"description\":\"FOUNDER &amp; CEO Realmente disfruto trabajando con empresas innovadoras en etapas iniciales, vivir el ajetreo del inicio, ayudar a que las ideas crezcan y llevarlas a la realidad.\",\"url\":\"https:\\\/\\\/holdmin.com\\\/en\\\/author\\\/toni-masero\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae","description":"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/holdmin.com\/en\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/","og_locale":"en_US","og_type":"article","og_title":"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae","og_description":"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.","og_url":"https:\/\/holdmin.com\/en\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/","og_site_name":"Holdmin \u00ae","article_published_time":"2026-10-22T08:55:05+00:00","article_modified_time":"2026-10-22T09:08:50+00:00","og_image":[{"width":1024,"height":1024,"url":"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2-1024x1024.png","type":"image\/png"}],"author":"Toni Masero","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Toni Masero","Est. reading time":"5 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/#article","isPartOf":{"@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/"},"author":{"name":"Toni Masero","@id":"https:\/\/holdmin.com\/#\/schema\/person\/84a60e20e5cc618abdcba95433c24d77"},"headline":"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web","datePublished":"2026-10-22T08:55:05+00:00","dateModified":"2026-10-22T09:08:50+00:00","mainEntityOfPage":{"@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/"},"wordCount":986,"publisher":{"@id":"https:\/\/holdmin.com\/#organization"},"image":{"@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/#primaryimage"},"thumbnailUrl":"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2.png","articleSection":["Noticias"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/","url":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/","name":"php2shell: dos fallos cr\u00edticos en PHP y qu\u00e9 hacer hoy con tu web - Holdmin \u00ae","isPartOf":{"@id":"https:\/\/holdmin.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/#primaryimage"},"image":{"@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/#primaryimage"},"thumbnailUrl":"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2.png","datePublished":"2026-10-22T08:55:05+00:00","dateModified":"2026-10-22T09:08:50+00:00","description":"Dos fallos cr\u00edticos en PHP permiten ejecutar c\u00f3digo en tu servidor sin contrase\u00f1a. Te contamos qu\u00e9 versiones son seguras y qu\u00e9 hacer hoy.","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/holdmin.com\/php2shell-dos-fallos-criticos-en-php-y-que-hacer-hoy-con-tu-web\/#primaryimage","url":"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2.png","contentUrl":"https:\/\/holdmin.com\/wp-content\/uploads\/2026\/10\/portada-blog-php2shell-1600x1600-2.png","width":1600,"height":1600},{"@type":"WebSite","@id":"https:\/\/holdmin.com\/#website","url":"https:\/\/holdmin.com\/","name":"Holdmin \u00ae","description":"Business Consulting for Companies, SMEs and the Self-Employed","publisher":{"@id":"https:\/\/holdmin.com\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/holdmin.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/holdmin.com\/#organization","name":"Holdmin \u00ae","url":"https:\/\/holdmin.com\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/holdmin.com\/#\/schema\/logo\/image\/","url":"https:\/\/holdmin.com\/wp-content\/uploads\/2022\/12\/Holdmin_negativo.svg","contentUrl":"https:\/\/holdmin.com\/wp-content\/uploads\/2022\/12\/Holdmin_negativo.svg","width":987,"height":270,"caption":"Holdmin \u00ae"},"image":{"@id":"https:\/\/holdmin.com\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/holdmin\/","https:\/\/instagram.com\/holdmin.corp"]},{"@type":"Person","@id":"https:\/\/holdmin.com\/#\/schema\/person\/84a60e20e5cc618abdcba95433c24d77","name":"Toni Masero","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/secure.gravatar.com\/avatar\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/36c679534ef264312986fb0b5df4c2ed821e64c4c2988920ab47febe963dc553?s=96&d=mm&r=g","caption":"Toni Masero"},"description":"FOUNDER &amp; CEO I really enjoy working with innovative early-stage companies, experiencing the startup hustle, helping ideas grow, and bringing them to reality.","url":"https:\/\/holdmin.com\/en\/author\/toni-masero\/"}]}},"_links":{"self":[{"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/posts\/7343","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/comments?post=7343"}],"version-history":[{"count":17,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/posts\/7343\/revisions"}],"predecessor-version":[{"id":7364,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/posts\/7343\/revisions\/7364"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/media\/7346"}],"wp:attachment":[{"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/media?parent=7343"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/categories?post=7343"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/holdmin.com\/en\/wp-json\/wp\/v2\/tags?post=7343"}],"curies":[{"name":"well played","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}