PHP2Shell: las dos fallas críticas de PHP que obligan a actualizar millones de sitios web
Dos vulnerabilidades permiten tomar el control de un servidor sin contraseña y ya hay ataques confirmados. La única solución completa es actualizar.
Santo Domingo, RD.- Dos fallas críticas en PHP, el lenguaje con el que funcionan WordPress, Drupal, Joomla y MediaWiki, tienen en alerta a los administradores de sitios web de todo el mundo. Bautizadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619), permiten ejecutar código a distancia en un servidor sin necesidad de contraseña ni de que la víctima haga clic en nada, según TechCrunch.
El aviso oficial de PHP califica ambas fallas con 9.2 sobre 10 en la escala de gravedad CVSS 4.0 y pide a todos los usuarios actualizar de inmediato.
Las versiones que corrigen el problema
El miércoles 21 de octubre, PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 con la corrección. El proyecto advierte que ajustes como memory_limit=-1 o session.upload_progress.enabled=0 reducen el riesgo, pero no dejan la instalación segura: actualizar es la única solución completa. Además, PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
Ya hay ataques
Según TechCrunch, Amazon cree que la explotación pudo empezar el 17 de octubre, unos días antes de que existiera el parche. Cloudflare vio un aumento exponencial de intentos de ataque tras la divulgación, y el viernes 23 de octubre Palo Alto Networks y Trail of Bits reportaron servidores comprometidos. Las fallas las encontraron los investigadores de la firma Calif, cuyas pruebas verificó Wiz.
Qué hacer si tienes una web en RD
- Pregunta a tu proveedor de hosting si ya actualizó PHP a una de las versiones corregidas.
- Si administras tu propio servidor, instala la actualización cuanto antes.
- Revisa también equipos que traen PHP integrado, como routers, sistemas de almacenamiento, firewalls o VPN, y busca actualizaciones del fabricante.
Los expertos citados por TechCrunch advierten que los equipos pequeños, los desarrolladores independientes y los sistemas antiguos son los que más tardan en actualizar, y por eso los más expuestos.
