PHP2Shell: vulnerabilidades críticas ponen en riesgo sitios web y aplicaciones empresariales

Dos nuevas vulnerabilidades críticas en el lenguaje de programación PHP han activado alertas de seguridad en todo el mundo. Instituciones europeas y nacionales instan a tomar medidas inmediatas, ya que los atacantes podrían tomar el control de los servidores web vulnerables. En Eslovenia, la Oficina Gubernamental para la Seguridad de la Información ha elevado el nivel de ciberamenaza a alto.

En resumen

• Qué: dos vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619, CVSS 9,2/10).
• Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
• Qué hacer ahora: verifique la versión de PHP en sus servidores e instale los parches lo antes posible.

¿Por qué es esto importante para casi todos los negocios en línea?

PHP es uno de los lenguajes de programación más extendidos para el funcionamiento de sitios web y aplicaciones. Lo utilizan numerosos sistemas, desde sitios web en la plataforma WordPress hasta tiendas en línea, portales de usuarios y aplicaciones empresariales.

Según datos de W3Techs del 21 de octubre de 2026, el 69,3 % de los sitios web cuyo lenguaje de programación de servidor es identificable utilizan PHP.

Esto no significa que casi el 70 % de Internet ya haya sido atacado. Pero sí significa que una vulnerabilidad en una tecnología tan extendida puede tener un impacto extremadamente grande en empresas y organizaciones de todo el mundo.

Dos vulnerabilidades con una puntuación de 9,2 sobre 10

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, también son conocidas colectivamente como PHP2Shell.

Ambas tienen una calificación crítica CVSS 9,2/10. Están relacionadas con una gestión incorrecta de la memoria en PHP y pueden permitir a un atacante, bajo ciertas circunstancias, ejecutar código malicioso de forma remota sin autenticación previa.

Un ataque exitoso podría resultar en acceso no autorizado a datos, cambios en el sitio web, interrupciones del negocio o la toma de control del proceso del servidor vulnerable.

Es particularmente importante destacar que se trata de vulnerabilidades en el propio PHP, no solo en un plugin o aplicación individual. Por lo tanto, actualizar WordPress o sus plugins no es suficiente si el servidor sigue utilizando una versión vulnerable de PHP.

Las instituciones de seguridad instan a tomar medidas inmediatas

La gravedad del evento se ve confirmada por las reacciones de instituciones nacionales e internacionales.

La Oficina Gubernamental para la Seguridad de la Información de Eslovenia (URSIV) publicó el 21 de octubre una orden de medidas urgentes debido a las vulnerabilidades de PHP. Elevó a alto el nivel de amenaza para las redes y sistemas de información de los sujetos obligados por la Ley de Seguridad de la Información (ZInfV-1).

El CERT-EU europeo y la ENISA recomiendan la instalación inmediata de parches de seguridad y dar prioridad a los sistemas accesibles a través de Internet.

También la Agencia de Seguridad Nacional (NSA) de EE. UU. advirtió a las organizaciones que actualicen los sistemas afectados. Donde la actualización inmediata no sea posible, aconseja retirar temporalmente el sistema de operación hasta que el riesgo pueda mitigarse adecuadamente.

Mientras tanto, el proveedor Cloudflare confirmó intentos de ataque detectados e implementó reglas adicionales de firewall de aplicaciones web (WAF). Estas pueden reducir la exposición, pero no sustituyen a los parches de seguridad.

¿Qué versiones de PHP deben actualizarse?

El equipo de desarrollo de PHP lanzó parches de seguridad el 21 de octubre de 2026. Para las ramas soportadas actualmente, se han corregido las siguientes versiones:

Las versiones de PHP 8.1 y anteriores ya no reciben actualizaciones de seguridad regulares directamente del proyecto PHP. Para algunos sistemas más antiguos, pueden estar disponibles parches específicos de proveedores de distribución o soporte a largo plazo, lo cual debe verificarse para cada entorno particular.

¿Qué recomendamos a las empresas?

Si su empresa utiliza un sitio web, tienda o aplicación empresarial basada en PHP, recomendamos los siguientes pasos:

1. Verifique la versión de PHP que ejecuta realmente cada sitio web o aplicación. No olvide los portales antiguos, sistemas de prueba y aplicaciones de proveedores externos.
2. Instale el parche de seguridad correspondiente. Antes de la actualización, verifique la compatibilidad de la aplicación y realice una copia de seguridad adecuada.
3. Si la actualización no es posible de inmediato, limite la exposición. Tras evaluar el impacto en el negocio, restrinja temporalmente el acceso público o implemente otras medidas recomendadas por el fabricante.
4. Revise las alertas de seguridad y los registros. Supervise solicitudes sospechosas, comportamientos inusuales del servidor y cualquier signo de acceso no autorizado.
5. Coordine las medidas con su proveedor de alojamiento. En servidores gestionados o hosting, debe estar claro quién es el responsable de actualizar PHP.

La forma más común de verificar la versión de PHP es a través del panel de control del hosting (como cPanel o Plesk), en la herramienta Salud del sitio de WordPress o simplemente solicitándola a su proveedor de hosting o desarrollador.

Si utiliza Cloudflare u otro firewall de aplicaciones web, debe permanecer activo como protección adicional. Por sí solo no significa que la vulnerabilidad haya sido eliminada.

¿Cómo puede ayudar VitaliT?

Para una empresa no siempre es fácil determinar qué aplicaciones usan PHP, si la actualización ya está instalada y si la mejora puede afectar al negocio.

En VitaliT ayudamos con la revisión técnica de entornos web y servidores, la verificación de versiones de PHP, la evaluación de la exposición y la coordinación de las medidas de seguridad necesarias. Más información en la página de Ciberseguridad.

Según sea necesario, también colaboramos con proveedores de hosting y desarrolladores de aplicaciones para que los parches se realicen de forma controlada y se verifiquen los resultados.

Fuentes oficiales e información adicional

¿Estoy en riesgo si utilizo WordPress?

Sí. Las vulnerabilidades están en el propio PHP, no en WordPress ni en los plugins. Si el servidor utiliza una versión vulnerable de PHP, actualizar WordPress no es suficiente. Es necesario verificar la versión de PHP en el servidor.

¿Es suficiente con utilizar Cloudflare u otro firewall de aplicaciones web?

No. Las reglas adicionales de WAF pueden reducir la exposición, pero no sustituyen a los parches de seguridad. Es necesario actualizar PHP a la versión corregida.

¿Qué versiones de PHP están corregidas?

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad regulares del proyecto PHP, por lo que para dichos sistemas se deben verificar las opciones con el proveedor de la distribución o planificar una actualización.

• PHP: Alerta de seguridad oficial y parches
• CERT-EU: Critical Vulnerabilities in PHP, 2026-018
• SI-CERT: Vulnerabilidades críticas en PHP
• URSIV: Orden de medidas urgentes
• NSA: PHP Security Advisory
• Cloudflare: Protección contra las vulnerabilidades PHP2Shell

El artículo se basa en información publicada y verificada el 21 de octubre de 2026. La información de seguridad puede complementarse con investigaciones posteriores y respuestas de los fabricantes.