Las dos fallas críticas de PHP conocidas como PHP2Shell ya no son solo un riesgo en papel. La agencia de ciberseguridad de Estados Unidos, CISA, confirmó el 26 de octubre de 2026 que atacantes ya las están aprovechando.
Si tienes un sitio o una aplicación en PHP, como WordPress, y todavía no actualizas desde la semana pasada, este es el momento. Aquí te explicamos qué pasó y cómo revisar tu servidor.
¿Qué pasó?
PHP2Shell es el nombre que recibieron dos vulnerabilidades: CVE-2026-109618 y CVE-2026-109619. Ambas permiten la ejecución remota de código, es decir, que alguien desde internet haga que tu servidor corra sus propios programas, y no necesita usuario ni contraseña para intentarlo.
El equipo de PHP publicó las correcciones el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Según la PHP Foundation, la calificación real de gravedad es de 9.2 sobre 10.
El 26 de octubre, CISA agregó las dos fallas a su catálogo de vulnerabilidades explotadas, una lista de fallas que ya se usan en ataques reales. Además, el investigador Adel Karimi, de Perplexity, reportó que durante el fin de semana sus servidores trampa, con PHP 8.4.26 y Apache, recibieron ataques que lograron abrir accesos remotos. Según su análisis, coinciden con CVE-2026-109618.
¿Por qué te importa?
Según BleepingComputer, PHP está detrás de cerca del 70% de los sitios web. Una falla que se aprovecha sin contraseña y ya tiene ataques confirmados es de las que hay que atender el mismo día.
La PHP Foundation explica que la configuración más expuesta es Apache con mod_php, el módulo que ejecuta PHP dentro del propio servidor web. Ahí los investigadores lograron tomar el control con los ajustes de fábrica. Con PHP-FPM, otra forma común de correr PHP, la primera falla también se confirmó, aunque depende del código de la aplicación.
Karimi aclaró que sus servidores trampa tenían una configuración favorable para el atacante, así que sus resultados no dicen qué tan fácil es el ataque en otros servidores. Aun así, no conviene esperar.
¿Qué puedes hacer?
- Revisa tu versión de PHP con
php -ven la terminal o en el panel de tu hosting y compárala con 8.5.12, 8.4.27, 8.3.36 o 8.2.35. - Si estás por debajo, actualiza con los paquetes de tu sistema operativo o de tu proveedor, y reinicia Apache o PHP-FPM para que el cambio surta efecto.
- Si usas hosting compartido, pregúntale a tu proveedor si ya aplicó la corrección; muchas veces no puedes actualizar PHP tú mismo.
- Si tu servidor usa una rama más vieja que 8.2, planea la migración a una versión con soporte o pide a tu proveedor una corrección compatible.
- Revisa los registros de tu servidor web en busca de caídas de procesos o archivos nuevos que no reconozcas en los últimos días.
Sigue leyendo
- PHP lanza hoy parches para dos fallas críticas: prepárate
- PHP pide apagar el progreso de subidas por una falla sin parche
Fuentes
- The PHP Foundation: Today’s PHP security release and how we’re strengthening PHP security
- BleepingComputer: CISA confirms PHP2Shell vulnerabilities now exploited in attacks
- SecurityWeek: PHP2Shell Exploitation Moves From Probes to Working Shells
Imagen de portada: foto de Brett Sayles en Pexels.