← Noticias  ·  25 de octubre de 2026

PHP2Shell: lo que ha pasado con PHP y qué debe hacer tu web esta semana

El 21 de octubre PHP publicó parches de emergencia para dos fallos críticos. Si tu web, tu tienda online o tu WordPress corren sobre PHP, esto va contigo.

Qué ha pasado

Se han corregido dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, con una puntuación de 9,2 sobre 10. Permiten ejecutar código en el servidor sin necesidad de usuario ni contraseña. El fallo circula con el nombre PHP2Shell. Varios organismos y empresas reaccionaron cerrando sitios web ese mismo día.

Qué versiones lo corrigen

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Las ramas 8.1 y anteriores ya no tienen mantenimiento regular. Hay parches de código para 7.4, 8.0 y 8.1, pero si usas una de esas versiones lo sensato es migrar a una rama con soporte.

Lo importante

PHP lo dice claro: no hay ninguna medida que proteja del todo; actualizar es la única opción segura. Existen mitigaciones temporales (por ejemplo, desactivar session.upload_progress.enabled), pero solo ganan tiempo.

Sobre si ya se está explotando, las fuentes no coinciden. El aviso del INCIBE lo marca como «no» en su tabla, pero recoge que se habían visto ataques contra servidores PHP antes de los parches. Mi consejo es tratarlo como activo.

Tres cosas que puedes hacer esta semana

  • 1. Averigua qué versión de PHP usa tu web. Pregúntaselo a quien te la mantiene o mira el panel de tu hosting. Si no lo sabes, ese es el primer problema.
  • 2. Pide la actualización por escrito. A tu proveedor de hosting o a tu agencia: a qué versión están y cuándo la aplican. Muchos hostings actualizan solos, pero compruébalo.
  • 3. Si no puedes actualizar ya, aísla. Un servidor expuesto a internet que no se puede parchear no debería seguir expuesto. Y revisa el resto: copias de seguridad recientes y accesos que ya no hagan falta.

Una web que nadie mantiene es la que más riesgo corre, y también la que menos se mira.

Si quieres que revisemos juntos qué tienes publicado y quién lo mantiene, hacemos una auditoría digital gratuita.

Auditoría gratuita: revisa tu web →

Fuentes: INCIBE-CERT, aviso «Múltiples vulnerabilidades en PHP» (actualizado el 21-10-2026) y anuncio de PHP 8.5.12 en la PHP Foundation.