Vulnerabilidad PHP2Shell (octubre 2026): qué es, a quién afecta y qué hacer para proteger tu web

PHP2Shell es el nombre de dos vulnerabilidades críticas en el núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten a un atacante ejecutar código en un servidor web sin usuario ni contraseña. Las dos tienen una puntuación de 9,2 sobre 10. El equipo de PHP publicó los parches el 21 de octubre de 2026 y, desde ese día, se están explotando de forma masiva.

Si tu empresa tiene una web, una tienda online, una intranet o cualquier herramienta hecha en PHP, te afecta: PHP es el motor sobre el que funcionan WordPress, Drupal, Joomla, Magento, PrestaShop y miles de aplicaciones a medida. No es un fallo de un plugin concreto ni de una mala configuración, sino del propio lenguaje.

¿Qué es PHP2Shell?

Cuando alguien visita tu web, el servidor ejecuta PHP para construir la página. Las dos vulnerabilidades de PHP están justo en esa parte, la que atiende cada visita:

• CVE-2026-109618, corrupción de memoria: cuando PHP se queda sin memoria a mitad de preparar una petición, la limpieza posterior trata como válidos datos que no lo son. Esa corrupción se puede aprovechar para ejecutar código.
• CVE-2026-109619, reutilización de memoria liberada (use-after-free): una petición deja restos en memoria que ya se ha liberado, y la siguiente petición que atiende el mismo proceso los reutiliza.

Lo grave es que basta una sola petición, sin iniciar sesión, y que el ataque ocurre antes de que se ejecute el código de tu aplicación. Da igual lo bien hecha que esté tu web o lo actualizado que tengas WordPress: si el PHP del servidor es vulnerable, la puerta está abierta. El caso de más riesgo son los servidores Apache con mod_php, todavía muy habituales en los hostings compartidos.

Lo investigaron equipos de Calif y Wiz, a quienes la PHP Foundation reconoce el hallazgo junto con OpenAI.

¿Qué ha pasado y por qué es urgente?

La cronología explica por qué hay que actuar hoy:

• 17 de octubre: Amazon registra los primeros intentos de ataque en sus servidores trampa, cuatro días antes de que el fallo fuera público.
• 20 de octubre: los identificadores de las vulnerabilidades se filtran en redes sociales.
• 21 de octubre: PHP publica los parches y los ataques se aceleran, con varios grupos atacantes distintos.
• Hoy: según Tenable, PHP2Shell se está explotando de forma generalizada.

Con este ritmo, una web con una versión de PHP vulnerable es cuestión de horas o días que reciba un intento de ataque.

¿A quién afecta la vulnerabilidad de PHP?

A cualquier empresa con una web o aplicación en PHP que no haya actualizado desde el 21 de octubre de 2026. Están afectadas todas las formas habituales de servir PHP: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. En la práctica, eso incluye la gran mayoría de webs en WordPress, tiendas en WooCommerce, PrestaShop o Magento, y los hostings compartidos con cPanel o Plesk.

Las versiones de PHP corregidas son estas:

Cómo saber la versión de PHP de una web

Hay tres formas rápidas de comprobar si tu web usa una versión de PHP vulnerable:

1. Desde fuera: muchos servidores anuncian la versión en la cabecera X-Powered-By de sus respuestas. Un técnico la ve en segundos con las herramientas de desarrollador del navegador.
2. En WordPress: entra en Herramientas → Salud del sitio → Información → Servidor. Ahí aparece la versión exacta de PHP.
3. En cPanel: en «Seleccionar versión PHP» o en «Administrador MultiPHP».

Ojo con un detalle: el panel del hosting suele mostrar solo la rama (por ejemplo, 8.4) y no el número completo (8.4.27), que es el que dice si estás protegido.

Qué hacer: cómo actualizar PHP en WordPress y cPanel

1. Actualizar PHP a una versión corregida. Es la única solución completa. Si tienes servidor propio, se hace con el gestor de paquetes del sistema. Si tu web está en un hosting compartido, la actualización la hace el proveedor: escríbele hoy, pídele que aplique los paquetes corregidos de PHP y que te confirme cuándo están puestos.
2. No cambies de versión de PHP a ciegas en cPanel. Pasar de la 8.4 a la 8.5 desde el panel no sirve si la 8.5 que ofrece tu hosting tampoco está parcheada, y puede dejar tu WordPress caído si algún plugin o el tema no admiten esa versión. Lo hemos visto esta misma semana: antes de cambiar, haz una copia de seguridad y comprueba la versión exacta.
3. Si no puedes actualizar todavía, hay medidas temporales que reducen el riesgo: ajustes de configuración de PHP que detallan los avisos de seguridad (por ejemplo, desactivar session.upload_progress.enabled) y reglas de cortafuegos web como las que Cloudflare ya ha desplegado. Son un parche provisional, no la solución.
4. Si usas PHP 8.1 o anterior, el problema es doble: esa versión ya no recibe soporte. Es el momento de planificar la migración a una rama mantenida.
5. Revisa que no te hayan entrado ya. Si tu web ha estado expuesta estos días, mira los registros del servidor, busca archivos PHP nuevos o modificados y cambia las contraseñas del panel, de la base de datos y del FTP.

Te ayudamos a actualizar PHP sin romper tu web

En Black Wings llevamos estos días revisando PHP2Shell en los servidores de nuestros clientes, y sabemos que lo difícil no es saber que hay que actualizar PHP, sino hacerlo sin romper nada: comprobar qué versión exacta corre de verdad, hablar con el proveedor de hosting, probar que la web, los plugins y los formularios siguen funcionando con la versión nueva y, si hace falta, aplicar las medidas temporales mientras tanto.

Si tu empresa tiene una web o una herramienta en PHP y no tienes claro si está protegida frente a PHP2Shell, podemos:

• Revisar tu web hoy y decirte qué versión de PHP usa y si es vulnerable.
• Actualizar PHP y las librerías de tu aplicación a versiones seguras, con pruebas antes y después para que nada deje de funcionar.
• Coordinarnos con tu hosting para que apliquen los parches, o ayudarte a migrar a una infraestructura más segura y fácil de mantener.

Escríbenos y revisamos tu web. Cuanto antes, mejor: esta vulnerabilidad de PHP ya se está explotando.