Alerta PHP2Shell: ¿Está tu página web en riesgo?

El 20 de octubre de 2026, dos vulnerabilidades críticas en el núcleo de PHP dejaron de ser un secreto.

Tras una filtración anónima en foros de seguridad y capturas de pantalla circulando en redes sociales, el equipo de seguridad de PHP confirmó el riesgo y adelantó una actualización de emergencia para el miércoles 21 de octubre. A este par de fallos se les conoce en conjunto como “php2shell”.
 

 
Considerando que PHP es el motor detrás de una gran parte de internet —incluyendo instalaciones corporativas en WordPress, catálogos en línea y plataformas de eCommerce—, el riesgo de ejecución remota de código es inminente. Aquí te explicamos en qué consisten estas vulnerabilidades y cómo aseguramos la continuidad de los ecosistemas digitales.

Cómo se desarrolló la filtración

La primera señal fue una publicación anónima alertando sobre dos fallos críticos de Ejecución Remota de Código (RCE). Aunque la publicación fue eliminada rápidamente, la confirmación no tardó en llegar. Investigadores de seguridad, incluyendo el equipo de Wiz Research, validaron que las vulnerabilidades eran reales, demostrando que al encadenar estos errores de memoria era posible comprometer instalaciones estándar de WordPress y Drupal sin necesidad de contraseñas.

El equipo de seguridad de PHP reaccionó de inmediato, publicando parches oficiales para remediar el problema desde la raíz en el motor del servidor.

Lo que sabemos de las fallas técnicas

Las vulnerabilidades han sido catalogadas como CVE-2026-109618 y CVE-2026-109619. Ambas ocurren en la gestión de memoria interna de PHP (específicamente cuando el servidor agota su límite de memoria asignado o maneja estados residuales tras errores fatales).

¿Qué significa esto en la práctica? Un atacante puede enviar una solicitud web maliciosa, saturar un proceso interno y engañar al servidor para ejecutar su propio código. Esto ocurre antes de que sistemas de seguridad a nivel de aplicación (como los plugins de WordPress) logren activarse. Las vulnerabilidades afectan a un rango histórico de versiones que retrocede hasta PHP 5.4.

Por qué esta crisis es diferente (y por qué importa)

• • Alcance masivo: PHP es la columna vertebral de millones de sitios web, desde páginas corporativas hasta paneles de control de hosting (como cPanel). Si tu sitio usa WordPress o soluciones a medida en PHP, está en la línea de fuego.

• • Velocidad de ataque: En ciberseguridad, el tiempo de explotación tras publicarse un parche se mide en minutos. Se detectaron intentos de ataque en la red casi de inmediato tras la publicación de los detalles.

   

• • Versiones obsoletas (End-of-life): Los parches oficiales solo se lanzaron para ramas con soporte (PHP 8.2 en adelante). Los sistemas que operan en PHP 7 o anteriores no recibirán soluciones automáticas, obligando a los administradores a migrar toda la infraestructura web.

Qué hacer inmediatamente para reducir riesgos

 

 
Si gestionas tu propia infraestructura, te recomendamos tomar acciones antes de que los atacantes automaticen sus escaneos masivos:

1. Audita tu entorno: Identifica exactamente qué versión de PHP corre en tu servidor, contenedores y paneles de control.

 

2. Despliega los parches: Actualiza a las versiones seguras (PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35).

 

3. Mitigación temporal: Si no puedes actualizar de inmediato, puedes deshabilitar temporalmente session.upload_progress.enabled en tu archivo php.ini, aunque esto es solo un parche provisional y no sustituye la actualización del servidor.

 

4. Aísla sistemas sin soporte: Si usas versiones antiguas, colócalas detrás de un Firewall de Aplicaciones Web (WAF) estricto mientras programas una migración completa de tu código.

¿Cómo está actuando Selfish para proteger a sus clientes?

Mantener un sitio web no se trata solo de renovar dominios; se trata de proteger la integridad del negocio. Ante crisis de Día Cero como PHP2Shell, la capacidad de respuesta es crítica.

Para todos los proyectos bajo nuestro servicio de Mantenimiento Web y Hosting, nuestro equipo ya está implementando los protocolos de seguridad correspondientes:

• • Escaneo y actualización de infraestructura: Auditamos los servidores VPS y dedicados para aplicar los parches de las ramas soportadas de PHP en entornos de producción, garantizando cero caídas en tiendas en línea y catálogos.

• • Limpieza y monitoreo proactivo: Nuestros escaneos de seguridad y rendimiento identifican cualquier intento de inyección maliciosa en tiempo real.

   

  • Migración de arquitecturas obsoletas: Para desarrollos a medida o sitios heredados que operan en versiones End-of-Life, evaluamos la compatibilidad del código y ejecutamos integraciones seguras para llevar el ecosistema digital a los estándares de 2026.

 
 
Si tienes dudas sobre si tu página web corporativa o eCommerce está protegido contra PHP2Shell o si tu infraestructura actual es vulnerable, no dejes la seguridad de tus clientes al azar.

Protege tu inversión digital y conoce nuestros planes de Mantenimiento Web Integral aquí.