PHP publicó parches urgentes para dos fallas que permiten tomar control de un servidor sin contraseña. Cómo saber si tu sitio está expuesto.
El proyecto PHP publicó el 21 de octubre versiones de emergencia para corregir dos vulnerabilidades críticas, bautizadas como PHP2Shell, que permiten a un atacante ejecutar código en el servidor sin tener una cuenta. PHP mueve cerca del 70 % de los sitios cuyo lenguaje de servidor se conoce, según W3Techs, así que cualquier empresa con un sitio en un hosting tradicional debería confirmar hoy que su servidor está al día.
Qué pasó
Las fallas (CVE-2026-109618 y CVE-2026-109619) tienen una gravedad de 9,2 sobre 10. No están en un plugin ni en una aplicación, sino en el propio intérprete de PHP, por lo que afectan a toda instalación que atienda visitas web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. Según el aviso oficial, el escenario más riesgoso es mod_php, donde una sola petición sin autenticación puede activar el ataque.
Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto: para algunas solo hay parches mínimos de código fuente o los que publique cada distribución. Además, PHP 8.2 deja de tener soporte el 31 de diciembre de 2026.
Las fallas las encontraron Wiz Research, Calif y el equipo Codex Security de OpenAI, que usaron modelos de IA para convertirlas en ataques funcionales. Cloudflare informó de ataques tempranos apenas salió el parche, y Amazon registró un intento el 17 de octubre, antes de que las fallas se hicieran públicas. Por ahora no hay confirmación de intrusiones exitosas, pero ya circulan pruebas de concepto.
Qué significa para tu empresa
Muchas pymes tienen su sitio en un hosting compartido con cPanel, donde PHP lo administra el proveedor. El parche depende de él, pero tú puedes revisar qué versión usas y exigir que esté al día.
Un punto clave: actualizar WordPress, el tema o los plugins no actualiza PHP. Son capas distintas. Y si tu sitio funciona con PHP 8.1 o anterior, ya no tiene parches oficiales: es momento de migrar.
El riesgo no es solo que el sitio se caiga. Estas fallas permiten leer la memoria del servidor, donde pueden quedar contraseñas, claves de API o datos que tus clientes dejaron en un formulario. Si esos datos se filtran, además del daño a la reputación hay un problema de protección de datos personales.
Qué puedes hacer
- Revisa tu versión de PHP. En cPanel suele estar en "MultiPHP Manager" o "Select PHP Version". Debe ser 8.2.35, 8.3.36, 8.4.27, 8.5.12 o una posterior.
- Pregunta a tu proveedor. Algunos aplican parches propios sin cambiar el número de versión: pide que confirme por escrito que corrigió ambos CVE.
- Sal de las versiones sin soporte. Si estás en 8.1 o anterior, planifica el paso a 8.3 u 8.4 y prueba antes que el sitio y sus plugins funcionen bien.
- Reinicia los servicios. Después de actualizar hay que reiniciar Apache o PHP-FPM. Si tienes servidor propio, te toca a ti.
- Vigila señales raras. Errores 500 repetidos, caídas sin explicación o archivos que no reconoces. Si ves algo, cambia contraseñas y claves.
- Si no puedes actualizar de inmediato, el aviso oficial trae medidas temporales, pero no reemplazan el parche.
Si hay novedades sobre ataques confirmados, actualizaremos esta noticia.
Fuentes
- Aviso de seguridad de PHP del 21 de octubre de 2026 (CVE-2026-109618 y CVE-2026-109619) (se abre en otra pestaña) · PHP
- Critical Vulnerabilities in PHP (se abre en otra pestaña) · CERT-EU
- PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge (se abre en otra pestaña) · The Hacker News
- php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions (se abre en otra pestaña) · Tenable
Redactado con apoyo de inteligencia artificial y revisado por el equipo de Dreamsign.