Publicado el 21 octubre 2026 · Equipo mitza.es
El 21 de octubre de 2026, el equipo de PHP publicó una actualización de seguridad de emergencia para corregir dos vulnerabilidades críticas de ejecución remota de código, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como «PHP2Shell». El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) avisó de que pueden permitir a un atacante ejecutar comandos en cualquier servidor web que use PHP. Si tienes una web en WordPress, PrestaShop, Joomla, Magento o cualquier desarrollo en PHP, esto te afecta.
Qué ha pasado
El 20 de octubre se filtraron en internet detalles de las dos vulnerabilidades antes de la divulgación coordinada, y la empresa de seguridad watchTowr confirmó que los fallos eran reales. Tras la filtración, el equipo de PHP adelantó la publicación de los parches al miércoles 21 de octubre. En su página, php.net muestra ahora un aviso de seguridad sobre vulnerabilidades críticas de ejecución remota de código y pide actualizar.
Qué son los dos fallos, en palabras llanas
- CVE-2026-109618: un fallo de corrupción de memoria que se produce cuando a PHP se le agota la memoria mientras los datos internos de una petición están solo parcialmente preparados. La limpieza posterior trata esos datos como válidos y, en determinadas condiciones, se puede aprovechar.
- CVE-2026-109619: el estado interno de una petición puede sobrevivir después de liberarse su memoria, y una petición posterior atendida por el mismo proceso puede llegar a usarlo antes de que se reinicie.
El equipo de seguridad de PHP les asigna una puntuación de 9,2 sobre 10 en CVSS v4.0. Según el NCSC, la corrupción de memoria permitiría ejecutar código sin autenticación. En otras palabras, no hace falta una contraseña ni un plugin vulnerable: el fallo está en el propio motor de PHP.
A quién afecta
El NCSC afirma que las organizaciones que usan cualquier versión de PHP están afectadas, y las versiones antiguas son las que más preocupan. PHP señala que están en riesgo todas las instalaciones que sirven peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Según Huntress, hay un exploit para mod_php en el que una sola petición sin autenticar puede desencadenar el ataque antes de que se ejecute el código de la aplicación.
Esto incluye a WordPress, Drupal, Joomla, Magento, PrestaShop y cualquier desarrollo a medida en PHP, porque el fallo está por debajo de ellos. Actualizar WordPress o sus plugins no lo resuelve: hay que actualizar PHP.
Versiones corregidas y qué pasa con las antiguas
- PHP 8.5: versión 8.5.12.
- PHP 8.4: versión 8.4.27.
- PHP 8.3: versión 8.3.36.
- PHP 8.2: versión 8.2.35.
Para 7.4, 8.0 y 8.1, el equipo de PHP publicó solo correcciones mínimas del código fuente: son ramas sin soporte oficial, así que si usas una de ellas debes consultar a tu proveedor o, mejor, pasar a una rama con soporte. Las distribuciones de Linux y los proveedores de soporte a largo plazo recibieron los parches antes de la publicación, de modo que conviene mirar sus paquetes. En alojamientos compartidos, es tu hosting quien tiene que aplicarlos.
¿Se está explotando ya?
Las fuentes no coinciden, así que lo prudente es asumir que sí. Huntress dijo que, hasta la mañana del 21 de octubre, no había observado explotación activa entre sus clientes. Sin embargo, el director técnico de Cloudflare afirmó que estaban viendo ataques tempranos, watchTowr dice haber reproducido uno de los fallos y circula código de explotación público, aunque sin verificar. Cuando una vulnerabilidad crítica se hace pública y existe un exploit, los intentos automáticos de ataque suelen empezar en horas.
Qué hacer hoy: lista para una pyme con web en PHP
- Averigua tu versión de PHP. Está en el panel de tu hosting y, en WordPress, en Herramientas, Salud del sitio, pestaña Información y apartado Servidor.
- Pregunta a tu hosting si ya ha aplicado los parches, o actualiza tú a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 desde el panel si te lo permite. Pídelo por escrito.
- Haz una copia antes de cambiar nada y prueba la web después: un cambio de versión puede romper plugins antiguos. Si no tienes un sistema fiable de copias, tienes nuestra guía de backup para empresas.
- Si usas PHP 8.1 o anterior, planifica la migración a una rama con soporte; mientras tanto, no dejes ese servidor expuesto sin protección adicional.
- Considera un cortafuegos de aplicaciones web (WAF). Cloudflare ha desplegado reglas para los vectores de ataque conocidos, disponibles incluso en su plan gratuito, pero solo cubren el tráfico que pasa por él y son un paliativo temporal, no una solución.
- Vigila señales de compromiso: archivos nuevos o modificados en el directorio web, tareas programadas desconocidas, usuarios nuevos o procesos del servidor web que lanzan comandos extraños.
¿Y los ajustes de php.ini?
Algunas publicaciones han propuesto cambiar ajustes de configuración como paliativo. Los responsables de PHP lo desaconsejan como solución: según Help Net Security, la desarrolladora principal Gina Peter Banyard afirmó que la única mitigación es parchear o actualizar PHP, y otro responsable descartó que los ajustes de configuración bastaran. Úsalos, si acaso, como medida de última hora mientras actualizas.
Si no puedes actualizar hoy
El NCSC recomienda inventariar los sistemas con PHP, empezando por los expuestos a internet, vigilar a los proveedores cuyo software incluye PHP y aplicar las mitigaciones temporales que indica el equipo de PHP. Si no es posible, aconseja valorar desconectar el sistema hasta poder mitigarlo y, si no se puede actualizar ni desconectar, evaluarlo en busca de indicios de compromiso. Tienes el aviso completo del NCSC en su web.
Por qué esto vuelve a poner sobre la mesa el mantenimiento
Este tipo de fallos se arreglan igual: alguien tiene que enterarse, probar y actualizar rápido. Las webs que nadie mantiene son las que pagan el precio, como vimos con los fallos críticos de WordPress de este verano y los plugins explotados en octubre. Si no tienes a nadie que se ocupe de ello, un mantenimiento web continuo o una auditoría de seguridad web te dicen en qué estado está tu web antes de que lo descubra un atacante.