Qué es PHP2Shell y por qué tiene en alerta a medio internet
Dos fallos críticos en el núcleo de PHP permiten a un atacante ejecutar comandos en tu servidor sin necesidad de iniciar sesión. El proyecto PHP publicó un parche de emergencia el miércoles 21 de octubre, y la ventana de exposición recién empieza: los detalles se filtraron antes de tiempo y ya hay intentos de explotación registrados.
Las vulnerabilidades están registradas como CVE-2026-109618 y CVE-2026-109619, ambas catalogadas como críticas y ambas habilitando ejecución remota de código (RCE). La comunidad de seguridad las bautizó PHP2Shell, por el salto que permite dar desde una simple petición PHP hasta una shell viva en el host.
Según RTVE, ambas alcanzan una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. Y el alcance es el problema real: PHP sostiene cerca del 70% de las páginas web con lenguaje de servidor identificable, incluyendo WordPress, que impulsa alrededor del 40% de los sitios de internet.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasQualys señala que los fallos se pueden explotar sin autenticación previa. Cloudflare reportó ataques que aprovecharon la vulnerabilidad horas antes de que se publicara el parche, y confirmó ejecución remota de código contra Magento 2.4.9 y otras diez aplicaciones PHP.
Qué versiones de PHP están corregidas (y cuáles no tendrán parche)
Las versiones corregidas, enumeradas por rama, son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Tu instalación está parcheada si se encuentra en o por encima del número correspondiente a su rama.
El problema son las ramas antiguas. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto, así que deben considerarse vulnerables salvo que tu distribución o un proveedor de soporte de terceros haya adaptado las correcciones. Según Hackread, los mantenedores sí publicaron parches mínimos de código fuente para PHP 7.4, 8.0 y 8.1, pero la recomendación sigue siendo migrar a una rama soportada.
Un detalle operativo que suele pasarse por alto: Wordfence advirtió que las actualizaciones automáticas no aplican esta corrección. Hay que averiguar quién gestiona realmente PHP en tu servidor.
Y ojo con los repositorios de terceros. Sansec señaló que los servidores que instalan PHP desde el repositorio de Remi, común en sistemas basados en RHEL, no tenían la corrección disponible el mismo 21 de octubre. La mayoría de los paquetes ya cuentan con la actualización, pero conviene verificarlo.
Cómo saber si tu sitio es vulnerable en menos de 10 minutos
Si usas alojamiento compartido o tienes un WordPress:
- Inicia sesión en tu panel (cPanel, Plesk o el propio de tu proveedor).
- Busca una sección tipo «Versión de PHP», «MultiPHP Manager» o «Software».
- Anota el número completo, como 8.3.36, no solo el «8.3».
Muchos proveedores muestran únicamente la rama. Si es tu caso, pregunta a soporte si ya aplicaron la corrección del 21 de octubre.
Si gestionas tu propio servidor, ejecuta php -v en una terminal. Tu sitio puede usar una versión distinta a la de la línea de comandos, así que comprueba también la que utiliza realmente el servidor web. Una página temporal con <?php phpinfo(); ?> también lo muestra, pero elimínala inmediatamente después de leerla: revela detalles del servidor y los escáneres automatizados buscan exactamente esos archivos expuestos.
No entres en pánico si el número parece antiguo. Las distribuciones de Linux suelen parchear agujeros de seguridad sin cambiar el número de versión. Un servidor puede parecer obsoleto y seguir protegido. En ese caso, consulta el aviso de seguridad de tu proveedor o el registro de cambios de tu gestor de paquetes y busca las referencias a los dos CVE.
El error más común: actualizar WordPress no arregla nada
Este es el punto que más confusión está generando. PHP2Shell no es un fallo de WooCommerce, Magento, PrestaShop ni de un plugin concreto: vive en el intérprete PHP del servidor. Actualizar el CMS, los plugins o el tema no corrige la vulnerabilidad si PHP sigue sin parchear.
La consecuencia práctica es incómoda: una tienda perfectamente al día en su panel de administración puede seguir expuesta porque su hosting no actualizó PHP. La responsabilidad del parche es de quien gestiona la infraestructura —tu equipo, tu agencia, tu proveedor de hosting o tu operador cloud—, no del CMS.
Ecommerce News lo resume con una pregunta que conviene copiar y pegar a tu proveedor técnico: «¿Qué versión de PHP utiliza nuestra tienda en producción y ya habéis aplicado las actualizaciones para CVE-2026-109618 y CVE-2026-109619?».
Y hay un paso que se olvida: reiniciar los procesos PHP (Apache, PHP-FPM) después de instalar el paquete. Los workers activos pueden conservar el comportamiento vulnerable hasta que se reinician.
¿Qué significa esto para tu startup?
Para un founder, esto no es un problema de reputación: es continuidad de negocio. Un RCE en el servidor que gestiona tu catálogo, tus pedidos, las cuentas de tus clientes y tus integraciones con pasarelas de pago abre la puerta a fraude, robo de datos o ventas caídas en plena campaña.
Malwarebytes lo describe sin rodeos: los atacantes pueden secuestrar sitios reales para aprovechar su reputación y hacer phishing o servir software malicioso desde un canal de confianza.
La reacción institucional da la medida de la urgencia. Según RTVE, la NSA y el FBI instaron a actualizar de inmediato, y varios países desconectaron webs oficiales como medida preventiva: Alemania, Francia, Bélgica, Países Bajos, Finlandia y Chequia. En España, Incibe emitió una alerta de importancia crítica.
Tres acciones concretas para hoy:
- Inventaría cada instalación de PHP, incluidas las que no controlas directamente: contenedores, appliances de proveedor, paneles como cPanel o Plesk y CMS alojados por terceros. Parchea primero lo que está expuesto a internet.
- Si no puedes actualizar ya, aísla. Las agencias de seguridad son tajantes: la mejor opción para un servidor expuesto que no se puede parchear es desconectarlo de la red hasta que esté protegido. Como mitigación temporal, las guías técnicas recomiendan ajustar límites de memoria y tamaño de petición, desactivar
session.upload_progressy, en PHP 8.5, desactivar los backtraces de errores fatales. Son paliativos, no una solución. - Vigila qué genera PHP. La explotación suele manifestarse como un worker de PHP lanzando algo anómalo: una shell, un intérprete de scripts o una herramienta de descarga. Revisa también archivos nuevos en la raíz web, usuarios administradores desconocidos, tareas programadas inusuales y picos de tráfico inexplicables.
Antes de tocar nada, haz copia de seguridad de archivos y base de datos, y verifica que puedes restaurarla. Una actualización de seguridad sin plan de reversión puede costarte más ventas que el propio incidente.
Si vendes en Shopify, respira: la plataforma se construye sobre Ruby on Rails y Liquid, no sobre PHP, y es Shopify quien gestiona su infraestructura. Aun así, revisa que las landings o blogs externos vinculados a tu dominio no corran sobre WordPress u otro CMS PHP sin parchear.
Fuentes
- Xataka: PHP2Shell es una vulnerabilidad crítica para tu web
- Techaeris: PHP2Shell, the emergency PHP patch is out
- Hackread: PHP releases emergency fixes for critical PHP2Shell vulnerabilities
- RTVE: Alerta mundial por dos fallos críticos en PHP
- Ecommerce News: PHP2Shell, guía urgente para ecommerces
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
