PHP2Shell: qué pasó con la falla crítica de PHP y qué hacer si tu web corre en PHP

El 21 de octubre de 2026, PHP publicó cuatro versiones de seguridad para cerrar dos fallas críticas en el propio motor del lenguaje. Se conocen como PHP2Shell, y el nombre lo dice: con ellas, alguien de afuera puede ejecutar código en tu servidor sin usuario ni contraseña. Como PHP corre debajo de WordPress y de buena parte de las páginas web, la noticia toca a casi cualquier empresa que tenga un sitio propio.

Qué es PHP2Shell

Son dos fallas en el motor de PHP, no en una aplicación ni en un plugin. Por eso las tienen WordPress, Drupal, Joomla o Magento cuando corren sobre una versión sin arreglar. Quedaron registradas como CVE-2026-109618 y CVE-2026-109619, y cada una tiene una gravedad de 9,2 sobre 10 en la escala CVSS 4.0.

• CVE-2026-109618: si a PHP se le acaba la memoria en medio de una petición, puede dejar información interna a medio armar, y al limpiar la trata como si estuviera completa. Por ahí se puede llegar a ejecutar código.
• CVE-2026-109619: un dato interno de una petición sobrevive después de que su memoria se liberó, y la siguiente petición que atiende el mismo proceso puede usarlo antes de que se reinicie. Ese resto también abre la puerta.

En los dos casos, el código se ejecuta con la cuenta con la que el servidor corre PHP, y no hace falta usuario ni contraseña: basta con mandarle a la página una petición preparada.

Cómo se supo

La PHP Foundation les dio el crédito a Calif, OpenAI y Wiz, entre otros. Calif y Wiz contaron que usaron modelos de inteligencia artificial en la investigación, y Calif comprobó la ejecución de código sin autenticación en versiones específicas de WordPress, Drupal, Joomla y Magento.

¿Tu web está expuesta?

Según PHP, está en riesgo toda instalación que atienda páginas web, en cualquiera de sus formas: PHP-FPM, Apache con mod_php (donde PHP ve el riesgo más alto), php-cgi, FrankenPHP y LiteSpeed. La pregunta útil no es si tu sitio usa PHP, sino qué versión corre.

Qué hacer hoy

1. 1
   Mira qué versión de PHP corre tu sitio

   En WordPress está en Herramientas, Salud del sitio, pestaña Información, sección Servidor. En un hosting con cPanel, en la herramienta de PHP del panel. Si no tienes acceso, pregúntale a quien te administra la página.

2. 2
   Actualiza a la versión con el arreglo

   Según PHP, es lo único que cierra las dos fallas. Después reinicia los procesos de PHP (PHP-FPM o Apache) para que quede corriendo la versión nueva. Si usas los paquetes de tu distribución de Linux, revisa el aviso de tu proveedor: algunas publicaron el arreglo por su lado.

3. 3
   Si estás en un hosting compartido, pregúntale a tu proveedor

   Ahí PHP lo actualiza el proveedor, no tú. Pregúntale hoy si ya instaló 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o cuándo lo va a hacer.

4. 4
   Si no puedes actualizar ya, reduce la exposición

   PHP propone tres ajustes del servidor mientras tanto: memory_limit=-1 sin que la aplicación lo pueda cambiar, session.upload_progress.enabled=0 y, en PHP 8.5, fatal_error_backtraces=0, y después reiniciar los procesos. Un firewall de aplicaciones, como las reglas que publicó Cloudflare, también ayuda. Nada de eso deja el sitio seguro: solo gana tiempo.

5. 5
   Revisa desde el 17 de octubre

   Hubo intentos antes del anuncio, así que Amazon recomienda empezar la revisión desde el 17 de octubre y no desde el día del arreglo. Busca lo que no debería estar: archivos nuevos en el servidor o usuarios administradores que nadie creó.

Lo que deja esta noticia

• La falla no estaba en tu página: estaba en el lenguaje que la corre. Mantener al día PHP, la base de datos y el servidor es parte de tener una web, igual que actualizar los plugins.
• El margen para actualizar se acorta: esta vez hubo intentos de ataque antes del anuncio y a horas de la filtración. Y quienes encontraron las fallas usaron inteligencia artificial para buscarlas.
• Saber en qué corre cada cosa: la primera pregunta del día fue qué versión de PHP tiene cada sitio. Tener a mano qué sistemas tienes, en qué corren y quién los actualiza ahorra horas en el próximo aviso.

Preguntas frecuentes

¿PHP2Shell afecta a WordPress?

Sí, si ese WordPress corre sobre una versión de PHP sin arreglar, porque la falla está en PHP y no en WordPress. Calif comprobó la ejecución de código en versiones específicas de WordPress, Drupal, Joomla y Magento. Lo que la cierra es actualizar PHP.

¿Basta con actualizar WordPress y los plugins?

No. Actualizar WordPress y sus plugins siempre conviene, pero estas fallas viven en PHP. Hay que llevar PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la versión que tengas.

¿Qué versiones de PHP tienen el arreglo?

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. Para 8.1 y anteriores no hay versión oficial: solo parches en el código fuente para quien compila PHP.

¿Un firewall o Cloudflare me protegen?

Ayudan mientras actualizas, pero no alcanzan: las reglas de Cloudflare son una medida temporal y solo cubren el tráfico que pasa por Cloudflare, y PHP insiste en que actualizar es la única salida segura.

¿Y si mi sitio no usa PHP?

Estas dos fallas son de PHP, así que no le aplican a un sitio hecho en otra tecnología. Igual vale la pena saber en qué corre cada cosa que tienes en internet, porque el próximo aviso puede ser de otra.

Fuentes

• PHP: el aviso de seguridad y las notas de las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, del 21 de octubre de 2026, en php.net.
• Tenable: sus preguntas frecuentes sobre PHP2Shell, con la cronología, los créditos de la PHP Foundation y lo que reportaron Amazon, Cloudflare y watchTowr.