Alerta crítica: actualice PHP hoy por las fallas PHP2Shell
Dos fallas en PHP (CVE-2026-109618 y CVE-2026-109619) permiten tomar control de servidores web sin credenciales. Ya hay intentos de ataque. Actualice hoy.
Esta es una alerta de seguridad para clientes con sitios o aplicaciones en PHP. El 21 de octubre de 2026, PHP publicó versiones de emergencia que corrigen dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, con gravedad 9.2 sobre 10 en la escala CVSS. Permiten que un atacante ejecute código en su servidor sin usuario ni contraseña. La comunidad las bautizó PHP2Shell. Afectan a WordPress, Drupal, Laravel, Magento y cualquier aplicación escrita en PHP.
Por qué importa
La falla no está en su sitio ni en sus plugins, sino en el motor de PHP que los ejecuta. Según el aviso oficial, el mayor riesgo está en Apache con mod_php (PHP integrado en el servidor Apache): una sola petición sin autenticación dispara el ataque antes de que su aplicación se ejecute. Actualizar WordPress o sus plugins no resuelve el problema. Hay que actualizar PHP en el servidor y reiniciar los procesos.
En términos de negocio: robo de datos de clientes, alteración del sitio, malware, interrupción del servicio o uso del servidor como puerta de entrada a otros sistemas.
Ya circula código para explotarlas y Cloudflare y watchTowr reportan intentos de ataque. CISA y el FBI piden actualizar de inmediato. DigitalOcean notificó a todos sus clientes, suspendió las imágenes 1-Click con PHP (WordPress, LAMP, Laravel) hasta corregirlas y puede restringir el tráfico de recursos comprometidos.
Versiones afectadas y corregidas
Las versiones seguras son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Todo lo anterior es vulnerable. PHP 8.1 y anteriores no reciben actualización oficial, solo parches mínimos de código fuente o correcciones de algunas distribuciones Linux. Según W3Techs, PHP está detrás de casi el 70% de los sitios web y más de un tercio todavía corre PHP 7 o PHP 5. En ese caso, la salida es migrar a una versión soportada. PHP 8.2 también pierde soporte el 31 de diciembre de 2026.
Qué recomendamos revisar
- Inventario de todo lo que ejecuta PHP: VPS, Droplets, contenedores, Kubernetes, paneles cPanel o Plesk y sistemas heredados.
- Versión de PHP por servidor y por sitio, y modo de ejecución (mod_php, PHP-FPM o CGI).
- Paquetes corregidos de su distribución Linux, que a veces llegan sin cambiar el número de versión visible.
- Reinicio de Apache o PHP-FPM después de actualizar.
- Mitigaciones parciales si no puede actualizar hoy, y reglas de firewall web (WAF) como las de Cloudflare, disponibles incluso en el plan gratuito.
- Registros (logs) del servidor en busca de errores de memoria, respuestas 500 repetidas o procesos inesperados.
Si su empresa tiene sitios o aplicaciones en PHP, coordine una revisión cuanto antes.
En SolveTech Cloud podemos identificar los servidores afectados en AWS, Google Cloud, DigitalOcean, Oracle Cloud u on-premise, actualizarlos sin interrumpir su operación, validar que queden protegidos y planificar la migración si todavía usa PHP 7 u 8.1.
Escríbanos por WhatsApp o a [email protected] para agendar una revisión prioritaria.
Esta vulnerabilidad es crítica y ya hay intentos de explotación. No postergue la revisión.