Vulnerabilidades de PHP: PHP2Shell y lo que debes hacer hoy

Dos fallas críticas de PHP, filtradas antes del parche, permiten tomar el control de un servidor sin contraseña. Así afectan a tu web o sistema.

El 21 de octubre de 2026, PHP publicó un parche de emergencia para dos vulnerabilidades críticas, conocidas como PHP2Shell. Permiten a un atacante ejecutar código en tu servidor sin necesidad de contraseña. Si tu web o sistema interno corre sobre PHP y no se actualizó hoy, está expuesto. La solución es actualizar a las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

PHP es la base de WordPress, Laravel, Drupal y miles de sistemas a medida en empresas peruanas. Por eso esta noticia no es solo para programadores: afecta directamente a la continuidad de cualquier negocio con presencia digital. A continuación te explicamos qué pasó, por qué es tan grave y qué lecciones dejan las fallas anteriores.

1. PHP2Shell: una filtración que adelantó el peligro

Lo habitual es que las fallas de seguridad se publiquen junto con su solución. Esta vez no fue así: el 20 de octubre, los detalles de las dos vulnerabilidades se filtraron en internet antes de la divulgación coordinada y antes de que existiera un parche.

El equipo de PHP reaccionó con un aviso anticipado, algo poco común, y publicó la corrección al día siguiente. La alarma fue tal que, como precaución, servicios del gobierno neerlandés como DigiD y MijnOverheid, además de grandes plataformas japonesas, se desconectaron hasta tener el parche.

2. Qué hacen exactamente estas dos fallas

Las vulnerabilidades se identifican como CVE-2026-109618 y CVE-2026-109619. Explicadas sin tecnicismos:

• CVE-2026-109618: si PHP se queda sin memoria en un momento clave, los datos internos de la petición quedan incompletos y pueden manipularse.
• CVE-2026-109619: PHP sigue usando datos de una petición después de haber liberado la memoria que los contenía.

Ambas tienen una severidad de 9.2 sobre 10 y permiten ejecución remota de código sin autenticación. En la práctica, un atacante podría instalar malware, robar tu base de datos o cifrar tus archivos.

3. Por qué afecta a casi todas las webs en PHP

La gravedad está en dónde ocurre la falla. No está en un plugin ni en un tema: está en el propio intérprete de PHP. Por eso cualquier sitio con una versión vulnerable está expuesto, sea WordPress, Drupal, Magento, Joomla o Laravel.

Tampoco importa cómo esté instalado PHP: el riesgo alcanza a PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Y según Wiz Research, que reportó las fallas, todas las versiones desde PHP 5.4 tienen al menos una de las dos.

El tiempo juega en contra: ya circulan las primeras pruebas de concepto, y CERT-EU advierte que eso aumenta la probabilidad de ataques activos.

4. Versiones sin soporte: no habrá parche para ellas

Aquí está el riesgo más serio para muchas pymes. PHP 8.1 y anteriores no recibirán corrección oficial, porque ya llegaron al fin de su vida útil.

Si tu sistema corre en PHP 7.4, 8.0 u 8.1, la única salida real es migrar. Y si corre en 8.2, ten en cuenta que esa rama dejará de recibir parches de seguridad el 31 de diciembre de 2026. La próxima falla grave ya no tendrá solución en esa versión.

Un matiz: algunas distribuciones Linux, como Ubuntu, pueden seguir publicando correcciones propias para sus paquetes. Pero eso depende de tu servidor y no aplica a cualquier hosting compartido.

5. No es la primera vez: el antecedente del ransomware

PHP2Shell recuerda a CVE-2024-4577, una falla de PHP en Windows en modo CGI. La banda de ransomware TellYouThePass la usó para instalar web shells y cifrar servidores, y la agencia estadounidense CISA la incluyó en su lista de vulnerabilidades explotadas.

La lección para las pymes: instalaciones como XAMPP eran vulnerables por defecto, y así funcionan muchos sistemas internos en una PC con Windows. Además, los ataques siguieron mucho después del parche: en enero de 2025 golpearon a empresas de educación, ecommerce y telecomunicaciones en Japón. Los sistemas que no se actualizan siguen siendo blanco durante años.

6. Parches cada pocos meses: la seguridad es mantenimiento

PHP2Shell no es un hecho aislado. Solo en 2026 hubo varias rondas de seguridad:

• Julio: el CERT de Francia alertó sobre CVE-2026-12184 y CVE-2026-14355, corregidas en 8.2.32, 8.3.32, 8.4.23 y 8.5.8.
• Septiembre: se corrigió, entre otras, una falla que permitía tumbar servicios SOAP sin autenticación y otra que podía filtrar credenciales al seguir redirecciones hacia otro dominio.
• Octubre: PHP2Shell.

Por qué te importa: un sistema que se instaló y "nunca más se tocó" acumula fallas públicas que los atacantes buscan de forma automatizada.

7. Qué hacer en las próximas 24 horas

• Identifica la versión de PHP de tu web y de tus sistemas internos, en el panel del hosting o preguntando a tu proveedor.
• Actualiza a 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
• Haz un inventario de todas las instalaciones de PHP, incluidas las que vienen dentro de software de terceros.
• Aísla de internet cualquier sistema en una versión sin soporte hasta poder migrarlo.
• Revisa los registros del servidor en busca de actividad inusual de los últimos días.

PHP2Shell confirma un patrón: las fallas aparecen en cualquier software, pero el daño real ocurre en los sistemas desactualizados, sin mantenimiento y sin un responsable claro. Esta vez, la filtración redujo a horas el margen para reaccionar. Las empresas con un proveedor atento y una versión con soporte solo tuvieron que aplicar un parche; las que corren versiones antiguas enfrentan un riesgo que ya no tiene solución oficial. Mantener PHP al día y planificar las migraciones a tiempo no es un gasto técnico: es proteger la continuidad de tu negocio.

¿No sabes si tu sistema está expuesto a PHP2Shell? Solicita un diagnóstico gratuito con Alfa Green: revisamos la versión y la seguridad de tu sistema web privado y te decimos cómo protegerlo o modernizarlo.