PHP2Shell: dos fallos críticos de PHP obligan a actualizar todos los servidores web

Qué ha pasado

El 21 de octubre el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que ya se conocen como PHP2Shell. Las dos tienen una puntuación de 9,2 sobre 10 y permiten que alguien, sin usuario ni contraseña, ejecute código en el servidor con los permisos de la web. Un día antes, el 20 de octubre, el propio proyecto había avisado de que llegaba una actualización crítica.

Los fallos tienen que ver con cómo PHP limpia la memoria cuando una petición termina de forma anómala. Afectan a cualquier instalación que sirva páginas: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El aviso oficial considera más expuesto el caso de mod_php, donde el ataque puede producirse antes de que se ejecute una sola línea de la aplicación. Los descubrieron investigadores de Calif, OpenAI y Wiz.

Según BleepingComputer, Cloudflare detectó los primeros intentos de ataque y activó reglas de cortafuegos provisionales, y el centro nacional de ciberseguridad británico (NCSC) pidió actualizar ya o desconectar los servidores afectados. VirusTotal calcula que hay más de 5,1 millones de servidores PHP visibles en internet. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto; solo se han publicado parches mínimos para 7.4, 8.0 y 8.1 pensados para quien compila PHP por su cuenta.

Por qué le importa a tu empresa

PHP está debajo de WordPress, WooCommerce, PrestaShop, Joomla, Drupal y de buena parte de las webs a medida. Si tu web funciona con cualquiera de ellos, este fallo te afecta, da igual que tus plugins estén al día. El problema no está en tu aplicación, sino en el motor que la ejecuta. Quien lo aproveche puede robar la base de datos de clientes, colgar páginas fraudulentas o usar tu servidor para atacar a otros.

Mi opinión

Este es de los que no admiten esperar al lunes. Lo bueno es que el arreglo existe y que las distribuciones de Linux recibieron los parches por adelantado, así que en muchos casos basta con actualizar paquetes y reiniciar el servicio. Lo malo es que una parte grande de las webs sigue con versiones de PHP sin soporte, y esas no van a recibir nada.

Las medidas provisionales que publica PHP (bajar el tamaño máximo de envío, desactivar el progreso de subida en sesión…) reducen el riesgo, pero el propio proyecto dice que no dejan la instalación segura. Yo no me quedaría tranquilo solo con eso. Si no sabes qué versión de PHP tienes, ese es el primer aviso. En XEVIA lo estamos revisando con nuestros clientes esta misma semana.

Qué hacer hoy

• Comprueba la versión de PHP de tu web en el panel del alojamiento o en la herramienta de salud del sitio de WordPress.
• Si tienes alojamiento compartido, pide por escrito a tu proveedor que confirme cuándo aplica 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
• Si tienes servidor propio o VPS, actualiza los paquetes de PHP y reinicia PHP-FPM o Apache.
• Si sigues en PHP 8.1 o anterior, planifica la migración ya: la versión 8.2 también deja de tener soporte el 31 de diciembre de 2026.
• Revisa los registros del servidor de los últimos días por si hay peticiones o errores extraños, y ten una copia de seguridad reciente fuera del servidor.