Investigadores revelan dos vulnerabilidades críticas en PHP, conocidas como PHP2Shell, con gravedad de 9.2 sobre 10. Ya existen actualizaciones de seguridad y reportes de explotación. Conoce qué versiones actualizar y cómo proteger tu página web.
Una alerta de ciberseguridad encendió las alarmas entre desarrolladores y administradores de páginas web. Este 21 de octubre de 2026 se publicaron correcciones para dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios y aplicaciones de internet.
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619, y están siendo investigadas bajo el nombre PHP2Shell.
Ambas recibieron una calificación de gravedad de 9.2 sobre 10 en el sistema CVSS 4.0.
De acuerdo con Aikido Security, las fallas pueden permitir ejecución remota de código bajo determinadas condiciones y ya existen reportes de explotación.
La recomendación principal para quienes administran servidores PHP es revisar inmediatamente su versión y aplicar las actualizaciones de seguridad disponibles.
¿Qué ocurrió con PHP el 21 de octubre?
El equipo de seguridad de PHP había preparado una publicación coordinada de correcciones.
Sin embargo, información sobre las vulnerabilidades comenzó a circular antes de la fecha originalmente prevista.
Por este motivo, los responsables adelantaron su respuesta de seguridad.
El 21 de octubre se anunciaron versiones corregidas y diferentes empresas de seguridad comenzaron a comunicar recomendaciones para proteger los servidores.
La situación es especialmente importante porque las vulnerabilidades afectan al propio intérprete de PHP y no únicamente a una aplicación desarrollada por terceros.
¿Qué es PHP y por qué millones de páginas lo utilizan?
PHP es un lenguaje de programación utilizado principalmente para desarrollar aplicaciones web.
Permite que un servidor procese información y genere respuestas dinámicas para los visitantes.
Muchas páginas utilizan PHP para funciones como:
- Inicios de sesión.
- Paneles de administración.
- Tiendas en línea.
- Publicación de noticias.
- Formularios.
- Procesamiento de información.
- Administración de usuarios.
- Consultas a bases de datos.
Además, PHP es utilizado por numerosos gestores de contenido y aplicaciones comerciales.
Por esta razón, una vulnerabilidad en el lenguaje puede requerir atención de una gran cantidad de administradores de servidores.
¿Qué es PHP2Shell?
PHP2Shell es el nombre utilizado para identificar dos vulnerabilidades de seguridad detectadas en PHP.
Sus identificadores son:
- CVE-2026-109618.
- CVE-2026-109619.
Ambas recibieron una puntuación CVSS de 9.2, considerada crítica.
El principal riesgo identificado está relacionado con la posibilidad de ejecutar código de manera remota cuando se cumplen las condiciones necesarias.
Esto puede representar un problema grave porque un atacante podría intentar realizar operaciones no autorizadas en un sistema vulnerable.
Sin embargo, el impacto concreto depende de la configuración del servidor, sus permisos y otras medidas de seguridad.
¿Qué significa ejecución remota de código?
La ejecución remota de código, también conocida como RCE, ocurre cuando una vulnerabilidad permite que un tercero intente ejecutar instrucciones en un sistema a distancia.
En el contexto de una página web, esto puede representar riesgos para la información y el funcionamiento del servidor.
Dependiendo del entorno afectado, las consecuencias podrían incluir:
- Modificación de archivos.
- Interrupciones del servicio.
- Acceso no autorizado a información.
- Instalación de software malicioso.
- Uso indebido de recursos del servidor.
- Alteraciones en determinadas aplicaciones.
Es importante aclarar que la presencia de una vulnerabilidad no significa automáticamente que todas las páginas hayan sido atacadas.
¿Qué versiones de PHP deben actualizarse?
Según la información publicada por Aikido Security, las versiones corregidas disponibles el 21 de octubre incluyen:
- PHP 8.5.12.
- PHP 8.4.27.
- PHP 8.3.36.
- PHP 8.2.35.
Los administradores deben verificar las versiones publicadas oficialmente y seleccionar una rama compatible y mantenida.
También es importante comprobar si el proveedor del sistema operativo ha incorporado las correcciones mediante paquetes de seguridad propios.
En determinados sistemas, los proveedores pueden incorporar parches sin cambiar el número principal de versión.
¿Las páginas que utilizan versiones anteriores están en riesgo?
Aikido indicó que las instalaciones de PHP sin las correcciones correspondientes deben considerarse afectadas.
Esto incluye la necesidad de revisar instalaciones antiguas que ya no reciben mantenimiento de seguridad.
Sin embargo, no siempre es recomendable cambiar una versión directamente desde un panel sin comprobar la compatibilidad del sitio.
Una actualización puede afectar aplicaciones que dependen de funciones antiguas.
Por eso, el procedimiento apropiado incluye realizar respaldos, verificar requisitos y aplicar los parches de manera controlada.
La prioridad es corregir la vulnerabilidad sin provocar una interrupción innecesaria de los servicios.
¿Qué deben hacer los propietarios de páginas web?
Si administras una página desarrollada en PHP, existen diferentes medidas recomendables.
- Identifica qué versión de PHP utiliza el servidor.
- Comprueba si esa instalación incluye las correcciones correspondientes.
- Realiza un respaldo de archivos y bases de datos.
- Consulta la documentación de tu proveedor de hosting.
- Solicita la actualización o corrección de seguridad correspondiente.
- Verifica la compatibilidad de las aplicaciones.
- Revisa los registros del servidor cuando corresponda.
- Comprueba que la página siga funcionando después de actualizar.
Si tu alojamiento es administrado por un proveedor, es conveniente preguntar directamente qué medidas ha aplicado.
¿Qué sucede si tu página utiliza WordPress?
WordPress utiliza PHP para ejecutar gran parte de sus funciones.
Esto significa que los propietarios de sitios WordPress también necesitan prestar atención a la versión de PHP instalada en el servidor.
Sin embargo, actualizar únicamente los temas y plugins de WordPress no necesariamente corrige una vulnerabilidad del intérprete PHP.
Las actualizaciones del lenguaje normalmente corresponden al servidor o al proveedor de hosting.
Por ello, es importante revisar ambas áreas de mantenimiento.
¿Las tiendas en línea también pueden verse afectadas?
Las aplicaciones de comercio electrónico desarrolladas sobre PHP dependen del entorno del servidor.
Si utilizan instalaciones vulnerables, pueden requerir las mismas correcciones.
Esto resulta especialmente importante para negocios que gestionan pedidos, cuentas de clientes e información comercial.
Entre las medidas recomendables se encuentran mantener respaldos, utilizar versiones compatibles y comprobar periódicamente las actualizaciones de seguridad.
También es conveniente limitar los permisos de los servicios y supervisar cambios inesperados.
¿Qué deben revisar quienes utilizan hosting compartido?
Muchos propietarios de páginas utilizan servicios de alojamiento compartido.
En estos casos, la administración del intérprete PHP puede depender parcial o totalmente del proveedor.
La recomendación es consultar el panel de hosting y revisar la documentación oficial.
Si el servicio permite seleccionar la versión de PHP, no conviene realizar cambios importantes sin comprobar primero los requisitos de las aplicaciones instaladas.
También se puede solicitar al soporte técnico información sobre los identificadores CVE-2026-109618 y CVE-2026-109619.
¿Cómo saber si una página ya fue comprometida?
Una página que funciona normalmente no necesariamente está libre de problemas.
Del mismo modo, un error aislado no significa automáticamente que hubo un ataque.
Los administradores pueden revisar indicadores como:
- Archivos modificados inesperadamente.
- Usuarios administrativos desconocidos.
- Procesos anormales.
- Cambios no autorizados en configuraciones.
- Registros de acceso sospechosos.
- Actividad de red inusual.
- Alertas del proveedor de seguridad.
La verificación adecuada puede requerir herramientas profesionales de monitoreo y análisis.
Si existen indicios de compromiso, es recomendable solicitar asistencia especializada.
¿Basta con instalar una actualización?
Aplicar las correcciones es esencial para reducir la exposición a las vulnerabilidades conocidas.
Sin embargo, si un sistema ya fue comprometido, una actualización por sí sola no garantiza eliminar posibles modificaciones realizadas por un atacante.
En esos casos puede ser necesario investigar los registros, revisar la integridad de los archivos y proteger credenciales.
También es importante mantener otras medidas como autenticación segura, permisos mínimos y copias de respaldo.
¿Dónde encontrar la información oficial?
Puedes consultar los comunicados de seguridad y las instrucciones para mantener PHP actualizado.
PHP, sitio oficial:
Consultar versiones y actualizaciones oficiales de PHP
PHP, versiones publicadas:
Revisar las versiones y sus cambios de seguridad
Aikido Security, PHP2Shell:
Leer el análisis de las vulnerabilidades y las recomendaciones
¿Por qué esta noticia importa también a los negocios pequeños?
La ciberseguridad no es un asunto exclusivo de grandes compañías tecnológicas.
Un negocio pequeño también puede depender de una página web para recibir solicitudes, publicar información o vender productos.
Una interrupción puede afectar la atención a clientes, las operaciones y la reputación de la empresa.
Por ello, es importante conocer qué proveedor administra el sitio y quién es responsable de mantener actualizado el servidor.
También es recomendable contar con respaldos que puedan restaurarse si ocurre un incidente.
La seguridad web debe formar parte del mantenimiento
Muchas empresas invierten en diseño, publicidad y posicionamiento en buscadores.
Sin embargo, la seguridad del sitio es igualmente importante.
Una página visualmente atractiva no garantiza que el servidor esté protegido.
El mantenimiento web debe considerar actualizaciones del lenguaje, aplicaciones, certificados, permisos y sistemas de respaldo.
Esto permite reducir riesgos y ofrecer una experiencia más confiable a los visitantes.
Conclusión: actualizar PHP se convierte en una prioridad
El descubrimiento de PHP2Shell demuestra que incluso las tecnologías ampliamente utilizadas pueden presentar vulnerabilidades críticas.
Las fallas CVE-2026-109618 y CVE-2026-109619 recibieron una puntuación de gravedad de 9.2 y motivaron la publicación de correcciones de seguridad.
Para propietarios de sitios web, administradores y desarrolladores, la recomendación es verificar las instalaciones y aplicar las actualizaciones disponibles mediante procedimientos seguros.
La seguridad de una página web no depende solamente de su diseño o de la calidad del código: también requiere mantener protegido y actualizado el entorno donde funciona.
Fuentes oficiales y recursos
Artículo elaborado por Bézier Studio con información publicada el 21 de octubre de 2026. Las recomendaciones son generales: las actualizaciones deben adaptarse al sistema y al proveedor de alojamiento correspondiente. La existencia de una vulnerabilidad no confirma que un sitio concreto haya sido comprometido.
Bézier Studio | Tecnología, diseño web, seguridad digital e innovación.
