PHP2Shell: PHP corrige dos fallos críticos y pide actualizar las webs de inmediato

A quién afecta y quién tiene que actuar

PHP2Shell reúne CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas del motor de PHP, el software que ejecuta muchas aplicaciones web. El problema está por debajo de WordPress, Drupal o Joomla: una aplicación con su código al día puede seguir expuesta si el servidor utiliza un PHP vulnerable.

La investigación de Wiz identifica versiones afectadas desde PHP 5.4. El aviso oficial incluye instalaciones que atienden peticiones web mediante PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP considera mayor el riesgo en mod_php, donde se ha demostrado un ataque sin autenticación que puede dispararse antes de ejecutar el código de la aplicación.

Si solo visitas páginas, la actualización corresponde a quienes las alojan. Si tienes una tienda, una web de empresa o un blog contratado, pregunta al proveedor por estos dos identificadores CVE y el paquete corregido que utiliza tu sitio, además de la versión que aparece en el panel.

Qué versiones corrigen el problema

Las actualizaciones del 21 de octubre de 2026 incorporan las correcciones en las cuatro ramas mantenidas:

Las distribuciones Linux y los proveedores con soporte prolongado recibieron los parches por adelantado y pueden incorporarlos a una versión anterior. Por eso hay que comprobar su aviso de seguridad y el paquete instalado, no decidir únicamente por el número visible.

PHP 8.1 y anteriores ya no reciben actualizaciones ordinarias del proyecto. El equipo ha facilitado cambios mínimos de código para quienes compilan 7.4, 8.0 y 8.1; quienes dependen de un proveedor deben confirmar su cobertura o migrar a una rama mantenida. PHP 8.2 termina su soporte de seguridad el 31 de diciembre de 2026: quien siga en esa rama tiene que parchear ahora y, además, planear el salto a una más nueva.

Qué permite el ataque

Ambos fallos tienen una puntuación CVSS 4.0 de 9,2 sobre 10. El primero está relacionado con cómo PHP abandona una petición cuando se queda sin memoria y después trata información interna que no terminó de inicializar. El segundo permite que un proceso conserve referencias a memoria de una petición que ya ha liberado y las vuelva a utilizar en otra.

Wiz demostró ejecución de código sin autenticación en instalaciones de WordPress, Drupal y Joomla. También consiguió leer memoria de procesos PHP, que puede contener contraseñas, claves de API y tokens.

Cloudflare afirma que los fallos se filtraron antes de la publicación oficial y que ya ha visto ataques contra webs de sus clientes, con variaciones para intentar saltarse sus protecciones.

Qué hacer con tu alojamiento y con el cortafuegos

El CCN-CERT recomienda identificar todas las aplicaciones basadas en PHP y actualizarlas inmediatamente. Si no se puede parchear, pide aislar de Internet los servicios cuyo uso no sea indispensable.

Para un sitio administrado por un proveedor, abre una incidencia con los dos CVE y solicita la confirmación de la corrección. Para una instalación propia, utiliza los paquetes de seguridad de la distribución o las versiones publicadas por PHP. Revisa todos los servicios que ejecutan PHP: actualizar el intérprete de una consola no comprueba por sí solo el de cada web.

Un cortafuegos de aplicaciones web (WAF) aporta una capa más. Cloudflare protege por defecto a los clientes de su WAF, gratuito o de pago, desde las 5:02 del 21 de octubre, hora peninsular, y recomienda mantenerlo activado mientras se aplica el parche.

Cambiar la configuración no sustituye a la actualización. PHP publica medidas temporales para reducir rutas concretas de ataque, algunas con reinicio de los procesos. El propio equipo advierte que ninguna cubre todos los casos.

Si investigas una posible intrusión, Wiz señala como indicios peticiones multipart extrañas seguidas de errores de memoria o respuestas HTTP 500, cookies PHPSESSID anormalmente grandes y reinicios inexplicables de procesos PHP.