PHP2Shell: ¿qué son las nuevas vulnerabilidades críticas de PHP y cómo proteger a tu empresa?

Dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, podrían permitir a un atacante ejecutar código de forma remota en servidores web sin necesidad de autenticación. Ambas presentan una severidad de 9.2 sobre 10 y cuentan con actualizaciones de seguridad publicadas el 21 de octubre de 2026.

Para las organizaciones que dependen de aplicaciones web, plataformas de comercio electrónico y servicios digitales, esta alerta representa un riesgo que requiere atención inmediata.

La prioridad es identificar qué aplicaciones utilizan versiones vulnerables de PHP, aplicar las actualizaciones disponibles y verificar las medidas de seguridad implementadas.

¿Qué es PHP2Shell y por qué representa un riesgo para las empresas?

PHP2Shell es el nombre utilizado para identificar dos vulnerabilidades críticas de ejecución remota de código (RCE) en PHP: CVE-2026-109618 y CVE-2026-109619.

Estos fallos pueden permitir que un atacante envíe una petición especialmente preparada a un servidor vulnerable y ejecute instrucciones sin contar con un usuario o contraseña.

Una explotación exitosa podría comprometer la confidencialidad, integridad y disponibilidad de la información que procesa una aplicación web.

Esto significa que las consecuencias pueden ir más allá de un problema técnico: desde la modificación o eliminación de información hasta la interrupción de servicios digitales que forman parte de la operación empresarial.

¿Qué es PHP y dónde se utiliza?

PHP es un lenguaje de programación que se ejecuta en el servidor y permite que los sitios web realicen operaciones dinámicas.

Entre sus funciones se encuentran:

• Procesar formularios y solicitudes de usuarios.
• Gestionar sesiones e inicios de sesión.
• Consultar y almacenar información en bases de datos.
• Administrar plataformas de comercio electrónico.
• Mostrar contenido personalizado.
• Ejecutar procesos de aplicaciones empresariales.

PHP es utilizado en plataformas como WordPress, WooCommerce, Drupal, Magento y Joomla, así como en aplicaciones desarrolladas con Laravel.

Debido a su amplia presencia en entornos web, una vulnerabilidad en el propio lenguaje puede afectar a diferentes plataformas y aplicaciones.

¿Cuáles son las vulnerabilidades críticas identificadas en PHP?

El 21 de octubre de 2026 se publicaron actualizaciones oficiales para corregir dos vulnerabilidades críticas.

CVE-2026-109618: ejecución remota de código por corrupción de memoria

Esta vulnerabilidad se relaciona con la gestión de memoria de PHP.

Cuando PHP se queda sin memoria durante el procesamiento de una solicitud, determinados datos pueden quedar en un estado inconsistente y utilizarse posteriormente como si fueran válidos.

Esta condición puede ser aprovechada por un atacante para ejecutar código de forma remota.

CVE-2026-109619: ejecución remota de código por reutilización incorrecta de información

Este fallo ocurre cuando información de una solicitud anterior permanece en memoria y se reutiliza incorrectamente durante el procesamiento de una nueva solicitud.

El manejo inadecuado de este estado global puede generar condiciones que permitan la ejecución remota de código.

¿Qué significa la ejecución remota de código para una organización?

La ejecución remota de código, conocida como RCE por sus siglas en inglés, permite que un atacante ejecute instrucciones en un sistema vulnerable desde una ubicación externa.

En el contexto de PHP2Shell, una explotación exitosa podría permitir:

• Acceder a información almacenada en el servidor.
• Modificar o eliminar datos.
• Comprometer aplicaciones y servicios digitales.
• Provocar interrupciones en la disponibilidad de un sitio web.

El riesgo empresarial no se limita a la aplicación afectada, sino también a la información y los procesos de negocio que dependen de ella.

¿Por qué las vulnerabilidades PHP2Shell requieren atención inmediata?

De acuerdo con la información reportada, los detalles de estas vulnerabilidades se filtraron el 20 de octubre de 2026, antes de que estuvieran disponibles las actualizaciones de seguridad.

Esta situación incrementa la urgencia de revisar los entornos potencialmente afectados.

Además, según PHP, se ha demostrado un escenario de ataque contra servidores que utilizan Apache con mod_php, mediante una sola petición y antes de que se ejecute cualquier código del sitio web.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) también ha recomendado considerar la desconexión de aquellos sistemas que no puedan actualizarse de inmediato.

Estos elementos refuerzan la importancia de priorizar la revisión de las aplicaciones web expuestas y aplicar las correcciones disponibles.

¿Qué versiones de PHP están afectadas por PHP2Shell?

Las vulnerabilidades afectan a versiones de PHP desde la 5.4 hasta la 8.5.11.

El riesgo no se limita a una plataforma de gestión de contenidos específica, ya que los fallos se encuentran en el propio PHP.

Entre los entornos que pueden estar expuestos se encuentran:

• PHP-FPM.
• Apache con mod_php.
• php-cgi.
• FrankenPHP.
• LiteSpeed.

De acuerdo con la información publicada por PHP, Apache con mod_php presenta el escenario de mayor riesgo identificado.

¿WordPress, WooCommerce, Drupal y Magento están afectados?

Los sitios y aplicaciones desarrollados sobre PHP pueden estar expuestos si utilizan versiones vulnerables del lenguaje.

Esto incluye entornos basados en WordPress, WooCommerce, Drupal, Magento, Joomla y aplicaciones desarrolladas con Laravel.

Es importante señalar que las vulnerabilidades no se originan específicamente en estas plataformas, sino en PHP.

Por ello, la revisión debe centrarse en la versión de PHP utilizada por cada aplicación y en la actualización de los componentes afectados.

¿Cómo saber si mi empresa está afectada por PHP2Shell?

Para identificar una posible exposición, los equipos responsables de TI, infraestructura, desarrollo y ciberseguridad deben comenzar por revisar las versiones de PHP utilizadas en sus aplicaciones y sitios web.

La revisión debe considerar tanto los sistemas administrados directamente por la organización como aquellos alojados en servicios de hosting o plataformas en la nube.

El primer paso es identificar qué versión de PHP utiliza cada aplicación y compararla con las versiones corregidas publicadas oficialmente.

Si la organización utiliza un servicio de hosting administrado, también es importante solicitar al proveedor la confirmación de que las actualizaciones correspondientes ya fueron aplicadas.

Esta revisión permite identificar qué sistemas requieren atención y priorizar las acciones de seguridad.

¿Cómo corregir las vulnerabilidades críticas de PHP2Shell?

La solución completa consiste en actualizar PHP a una versión corregida.

De acuerdo con el aviso oficial de PHP, no existen medidas de mitigación que eliminen completamente el riesgo sin aplicar la actualización correspondiente.

Las versiones corregidas publicadas el 21 de octubre de 2026 son:

Las versiones PHP 8.1 y anteriores ya no reciben actualizaciones oficiales de seguridad.

Las organizaciones que continúen utilizando estas versiones deberán migrar a una versión con soporte o consultar con su proveedor la disponibilidad de parches propios.

Adicionalmente, PHP 8.2 dejará de recibir soporte el 31 de diciembre de 2026.

Cinco acciones para proteger las aplicaciones web empresariales

Ante la identificación de vulnerabilidades críticas como PHP2Shell, es importante que los equipos técnicos coordinen las acciones necesarias para reducir la exposición de sus sistemas.

1. Identificar las versiones de PHP instaladas

Revisar qué versión de PHP utiliza cada sitio web o aplicación de la organización.

Este paso permite identificar los sistemas potencialmente afectados y determinar cuáles requieren una actualización.

2. Aplicar las actualizaciones de seguridad

Actualizar PHP a la versión corregida correspondiente.

En entornos Linux, los paquetes proporcionados por la distribución pueden incluir los parches de seguridad.

3. Confirmar las actualizaciones con proveedores de hosting

Si las aplicaciones están alojadas en servicios administrados o plataformas en la nube, es importante confirmar con el proveedor que las actualizaciones correspondientes ya fueron aplicadas.

4. Implementar medidas temporales cuando no sea posible actualizar

PHP ha publicado ajustes temporales relacionados con los límites de memoria, el tamaño de los envíos y la desactivación del progreso de subida en sesiones.

Estas medidas pueden reducir la exposición, pero no eliminan completamente el riesgo.

Adicionalmente, Cloudflare ha activado reglas de protección WAF contra ataques conocidos, disponibles también para usuarios de su plan gratuito, de acuerdo con la información reportada por Help Net Security.

5. Evaluar la desconexión temporal de sistemas

Cuando no sea posible actualizar ni aplicar medidas de seguridad suficientes, debe valorarse la desconexión temporal del sistema afectado.

Esta recomendación ha sido señalada por el Centro Nacional de Ciberseguridad del Reino Unido.

¿Qué riesgos representan las vulnerabilidades críticas en PHP para la continuidad del negocio?

Las vulnerabilidades críticas en componentes ampliamente utilizados, como PHP, no representan únicamente un problema técnico.

Una aplicación web comprometida puede afectar procesos comerciales, plataformas de atención, servicios digitales y operaciones que dependen de la disponibilidad e integridad de la información.

En entornos empresariales, los principales riesgos incluyen:

Compromiso de información: un atacante podría acceder a datos almacenados en el servidor afectado.

Alteración o eliminación de datos: una explotación exitosa podría permitir modificaciones no autorizadas de información.

Interrupción de servicios digitales: los sistemas comprometidos podrían experimentar problemas de disponibilidad.

Afectación a procesos de negocio: la indisponibilidad o el compromiso de una aplicación puede impactar las operaciones que dependen de ella.

Por ello, atender una vulnerabilidad crítica requiere coordinación entre los equipos responsables de infraestructura, desarrollo y seguridad de la información.

La prioridad debe ser identificar los sistemas expuestos, aplicar las actualizaciones disponibles y verificar que las medidas de seguridad se hayan implementado correctamente.

¿Cómo puede una empresa fortalecer la seguridad de sus aplicaciones web?

La identificación de PHP2Shell demuestra la importancia de mantener actualizados los componentes tecnológicos que soportan las aplicaciones empresariales.

Sin embargo, para responder oportunamente ante vulnerabilidades críticas, también es necesario contar con visibilidad sobre los activos digitales y las tecnologías que forman parte de la operación.

Las organizaciones necesitan conocer qué sistemas utilizan, dónde se encuentran sus aplicaciones y qué vulnerabilidades podrían comprometer su funcionamiento.

La gestión de vulnerabilidades, las evaluaciones de seguridad y las pruebas de penetración contribuyen a identificar debilidades y priorizar acciones de protección.

Asimismo, contar con capacidades de detección y respuesta permite fortalecer la preparación ante posibles incidentes de seguridad.

La ciberseguridad empresarial debe mantenerse alineada con las necesidades del negocio, considerando tanto la protección de la información como la continuidad de los servicios digitales.

¿Cómo puede Smartekh ayudar a gestionar vulnerabilidades críticas?

En Smartekh, ayudamos a las organizaciones a fortalecer su postura de ciberseguridad mediante servicios orientados a la identificación de vulnerabilidades, la protección de aplicaciones y la reducción de riesgos tecnológicos.

Nuestro enfoque busca conectar las necesidades de seguridad con los objetivos del negocio, ayudando a los equipos responsables a identificar riesgos y definir medidas de seguridad adecuadas.

Ante vulnerabilidades críticas como PHP2Shell, contar con visibilidad de los activos y una estrategia de gestión de vulnerabilidades permite tomar decisiones oportunas para proteger las aplicaciones empresariales.

¿Tu organización ya verificó si sus aplicaciones web utilizan versiones vulnerables de PHP?

Conversemos sobre cómo identificar la exposición de tus activos digitales y definir las medidas de seguridad necesarias para proteger tu operación.

Preguntas frecuentes sobre PHP2Shell y las vulnerabilidades críticas en PHP

¿Qué es PHP2Shell?

PHP2Shell es el nombre utilizado para identificar dos vulnerabilidades críticas en PHP, CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código en servidores vulnerables sin autenticación.

¿Cuál es la gravedad de las vulnerabilidades PHP2Shell?

Ambas vulnerabilidades presentan una puntuación CVSS de 9.2 sobre 10, correspondiente a una severidad crítica.

¿Qué versiones de PHP son vulnerables?

De acuerdo con la información reportada, las versiones afectadas abarcan desde PHP 5.4 hasta PHP 8.5.11.

¿Cómo saber si mi sitio web utiliza una versión vulnerable de PHP?

Es necesario identificar la versión de PHP utilizada por el sitio web o aplicación y compararla con las versiones corregidas publicadas oficialmente. Si se utiliza hosting administrado, debe confirmarse con el proveedor que las actualizaciones correspondientes ya fueron aplicadas.

¿Cómo se solucionan las vulnerabilidades PHP2Shell?

La solución completa consiste en actualizar PHP a una versión corregida: 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama utilizada.

¿WordPress puede verse afectado por PHP2Shell?

Sí. Los sitios WordPress pueden estar expuestos si utilizan una versión vulnerable de PHP. El fallo se encuentra en PHP y no específicamente en WordPress.

¿Un firewall de aplicaciones web (WAF) elimina el riesgo?

No. Las reglas WAF pueden proporcionar protección contra ataques conocidos, pero no sustituyen la actualización de PHP a una versión corregida.

¿Qué sucede si una empresa utiliza PHP 8.1 o anterior?

Estas versiones ya no cuentan con soporte oficial. Se recomienda migrar a una versión con soporte o consultar la disponibilidad de parches específicos con el proveedor correspondiente.

¿Qué debe hacer una empresa si no puede actualizar PHP inmediatamente?

Puede aplicar las medidas temporales publicadas por PHP, confirmar la disponibilidad de protección adicional mediante WAF y valorar la desconexión temporal de los sistemas que no puedan protegerse adecuadamente.

¿Qué riesgos puede provocar una vulnerabilidad de ejecución remota de código?

Una explotación exitosa puede permitir el acceso, modificación o eliminación de datos, comprometer aplicaciones y provocar interrupciones en los servicios digitales.