Vulnerabilidad en PHP (PHP2Shell): qué significa para tu web y qué conviene revisar

El 21 de octubre de 2026, el proyecto PHP publicó una actualización de emergencia para corregir dos fallos críticos, conocidos como PHP2Shell, que permitirían a un atacante ejecutar código en un servidor sin necesidad de iniciar sesión. Si tu web funciona con PHP, y lo hacen WordPress, Drupal, Joomla y muchas tiendas online y desarrollos a medida, pregúntate:

¿Qué versión de PHP corre hoy en tu servidor?

Qué ha pasado con PHP2Shell

Según Recorded Future, los fallos se descubrieron en agosto de 2026 y los detalles técnicos se filtraron antes de la divulgación coordinada. ¿Qué ha supuesto eso? El 20 de octubre de 2026 el equipo de seguridad de PHP anunció una versión fuera de ciclo para el día siguiente. Sí, un solo día.

• 21 de octubre de 2026: PHP publica las versiones corregidas. En España, INCIBE emite una alerta de importancia crítica y el CCN-CERT publica la suya ese mismo día.
• 23 de octubre de 2026: PHP informa de un tercer fallo relacionado, CVE-2026-115560, con una mitigación temporal.
• Del 23 al 26 de octubre: varias firmas de seguridad publican informes sobre escaneos e intentos de ataque.

Vamos a ver qué fallos o riegos están confirmados.

Cómo funciona PHP

PHP es el lenguaje que ejecuta el servidor para construir muchas páginas web. El problema aparece cuando PHP se queda sin memoria mientras procesa ciertas peticiones. En ese momento deja datos a medias en el estado interno del proceso, y la petición siguiente puede aprovecharlos. Abstract Security señala que el código afectado llevaba más de una década en el lenguaje, y que las versiones vulnerables llegan hasta PHP 5.4.

Pero, ¿cómo se entiende este fallo aplicado a tu negocio? La clave es que el fallo está en PHP, no en tu web. Un sitio bien mantenido a nivel de contenido y plugins puede seguir expuesto si el servidor corre una versión de PHP sin corregir. Así es. Tu sitio web debe tener un buen mantenimiento, estar actualizado siempre.

Versiones de PHP afectadas y versiones corregidas

Qué revisar hoy si tienes una web con PHP

No hace falta ser técnico para dar los primeros pasos. Por eso, para ponértelo fácil, te recomendamos la siguiente secuencia.

1. Averigua qué versión de PHP usa tu web

Por ejemplo, si tienes WordPress, la información está en Herramientas, Salud del sitio, pestaña Información, apartado Servidor.

También suele aparecer en el panel del hosting (cPanel, Plesk u otros). Si no la encuentras, pregunta a tu proveedor de alojamiento, a quien mantiene la web o a nosotros.

2. Compara con la tabla anterior

Si tu versión es anterior a la corregida de su rama, te está diciendo que hay que actualizar.

Ojo con los servidores Linux gestionados por el proveedor: algunos aplican el arreglo sin cambiar el número de versión. En este caso, un número “antiguo” no siempre significa que sea vulnerable. Pregunta antes a tu proveedor.

3. Confirma que PHP se ha reiniciado tras actualizar

Algunos informes coinciden en un punto práctico: instalar el paquete nuevo no basta si los procesos antiguos de PHP siguen en marcha. Por ello, te recomendamos que pidas a quien administra el servidor que confirme que el servicio web ya esté usando la versión corregida.

4. Si tu PHP es 8.1 o anterior, plantea la migración

Sin versión estándar corregida, las opciones son migrar a una rama con soporte o apoyarte en un proveedor que ofrezca parches para versiones antiguas. Pero atención porque migrar puede afectar a plugins, temas o desarrollos a medida que no se hayan actualizado. Te recomendamos que antes lo pruebes en un entorno de pruebas y no directamente en el entorno de producción.

5. Revisa lo que no es “la web”

PHP también corre dentro de algunos dispositivos. DiarioBitcoin recoge que Synology ya distribuyó paquetes actualizados, que QNAP confirmó que varios de sus productos están afectados y trabaja en correcciones, y que TerraMaster también prepara una solución. Por lo tanto, si tu empresa usa un NAS* de esas marcas, consulta el aviso de cada fabricante.

* NAS: Network Attached Storage o almacenamiento conectado a la red. Es un dispositivo de almacenamiento de datos que se conecta a una red local (por cable Ethernet o Wi-Fi) para que múltiples usuarios y dispositivos puedan guardar y compartir archivos de forma centralizada.

6. Mientras actualizas, reduce la exposición

Un cortafuegos de aplicaciones web (WAF) puede ayudar a reducir el riesgo durante la transición. Cloudflare, por ejemplo, activó reglas de protección antes de la divulgación pública.

PHP insiste en que la actualización es la solución completa.

El tercer aviso PHP: CVE-2026-115560

Dos días después de las correcciones, PHP informó de otra vulnerabilidad que podría permitir ejecutar código. Según la información publicada, solo aplica si la aplicación cambia en tiempo de ejecución el manejador de serialización de sesiones a “php” y, además, tiene activado el seguimiento del progreso de carga de sesiones. No describe, por tanto, una exposición automática en cualquier instalación.

PHP no prevé un parche de emergencia y la corrección llegará en una versión rutinaria. Mientras tanto, recomienda desactivar el seguimiento del progreso de carga de sesiones (la directiva session.upload_progress.enabled).

En caso de que ya lo hayas desactivado como medida alternativa para los dos primeros fallos, no necesitas hacer nada más. Pero, de nuevo, es un ajuste que debe aplicar quien administra el servidor.

¿Hay ataques reales en la vulnerabilidad presentada de PHP?

Vamos por partes.

Sí, ha habido intentos de explotación documentados: Recorded Future y Patchstack recogen incidentes comunicados por proveedores de hosting incluso antes de la publicación del parche.

También se han detectado escaneos: CYFIRMA informó de actividad discreta contra 216 servidores.

Pero ten en cuenta que escanear o intentar, no es un equivalente a entrar. Es decir, según DiarioBitcoin, que cita a The Register, hasta el viernes 23 de octubre nadie había informado públicamente de una intrusión exitosa mediante PHP2Shell, y Unit 42 retiró su aviso inicial sobre un organismo europeo porque no pudo vincular el acceso con estos CVE.

Entonces, ¿cómo podemos leer y entender todo estos avisos? El riesgo es real y se está explotando, aunque el alcance de los daños confirmados es, de momento, limitado. Pero, ¡ojo! Eso no cambia la recomendación que sigue siendo la de actualizar.

Qué podemos revisar desde Pinchaaqui: vulnerabilidad PHP

Si quieres que miremos tu caso, hacemos una revisión técnica de lo que depende de la web y su entorno: qué versión de PHP corre, cómo está el alojamiento, qué gestor de contenidos y qué plugins hay, y cuáles están desactualizados o sin mantenimiento. Te decimos qué conviene corregir y en qué orden.

Esta revisión no sustituye a una auditoría de seguridad ni a una prueba de intrusión realizadas por especialistas, y desde fuera no podemos asegurar que un servidor no haya sido comprometido. Si te interesa, escríbenos indicando qué gestor de contenidos usas y quién aloja tu web, y vemos por dónde empezar.

Si además tu web va lenta o muestra avisos del navegador, te dejamos dos artículos que pueden ser de tu interés: cómo mejorar la velocidad de carga de una página web y certificados SSL y el aviso de “no segura” en Chrome. Si estás valorando cambiar de tecnología, tenemos también una guía sobre frameworks PHP.

Preguntas frecuentes sobre la vulnerabilidad ePHP

¿Qué es PHP2Shell?

Es el nombre con el que se conoce a dos vulnerabilidades críticas del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, que permitirían a un atacante ejecutar código en el servidor sin autenticarse.

¿Qué es PHP en ciberseguridad?

PHP es un lenguaje de programación que ejecuta el servidor para generar páginas web. En ciberseguridad importa porque un fallo en PHP afecta a todas las webs que corren sobre esa versión, con independencia de cómo estén construidas.

Si actualizo WordPress, ¿queda resuelto?

No. Actualizar WordPress, un tema o un plugin no cambia la versión de PHP del servidor. Esa actualización depende del hosting o de quien administre el servidor.

¿Cómo sé si mi web ha sido atacada?

Desde fuera no se puede saber con certeza. Quien administra el servidor puede revisar los registros y los procesos en ejecución en busca de actividad anómala. Si tu versión de PHP no estaba corregida desde el 21 de octubre, o no sabes cuándo se actualizó, conviene pedir esa revisión.

¿Qué hago si mi web usa PHP 7.4 u 8.0?

Esas ramas no tienen soporte oficial estándar. Habla con tu proveedor para ver si ofrece un parche propio y valora migrar a una rama con soporte, probando antes que la web y sus plugins funcionan con la nueva versión.

Fuentes

Actualizado el 27 de octubre de 2026. La situación sigue evolucionando, así que te recomendamos que contrastes las cifras y los avisos con algunas de las siguientes fuentes.

• Help Net Security: PHP2Shell, vulnerabilidades críticas de PHP corregidas
• SOCRadar: PHP2Shell, versiones afectadas y cómo corregirlo
• Recorded Future: explotación de PHP2Shell
• Abstract Security: informe rápido sobre PHP2Shell
• Centro Canadiense de Ciberseguridad: alerta AL26-026
• TuxCare: parches para versiones de PHP sin soporte
• Fortinet: cómo reducir el riesgo mientras se parchea
• Roams: alertas de INCIBE y CCN-CERT en España
• DiarioBitcoin: la tercera falla de PHP2Shell