El proyecto PHP lanzó este miércoles 21 de octubre un parche de emergencia que corrige dos fallos críticos, catalogados como CVE-2026-109618 y CVE-2026-109619. Ambos permiten la ejecución remota de código, lo que significa que un atacante podría tomar el control de un servidor que ejecute PHP y acceder a datos sensibles. Los fallos, bautizados como “PHP2Shell”, son especialmente peligrosos porque no requieren iniciar sesión para ser explotados, según la firma de ciberseguridad Qualys.
Cloudflare confirmó que ya se habían detectado ataques que aprovechaban la vulnerabilidad horas antes de la publicación del parche. Investigadores demostraron la ejecución remota de código contra la versión 2.4.9 de Magento y otras diez aplicaciones basadas en PHP. Con los detalles ahora públicos, la comunidad de seguridad advierte que la explotación continuará mientras existan servidores sin actualizar.
Las versiones corregidas varían según la rama de PHP: 8.5.12, 8.4.27, 8.3.36 y 8.2.35 son las mínimas seguras. Las versiones 8.1 y anteriores dejaron de recibir actualizaciones oficiales, por lo que se consideran vulnerables a menos que el proveedor haya aplicado parches retroactivos. Los administradores de sitios web deben verificar la versión exacta que usa su servidor, ya que la línea de comandos y el entorno web pueden diferir.
Para los usuarios de hosting compartido o WordPress, la recomendación es contactar al soporte técnico y preguntar si el parche del 21 de octubre está instalado. En servidores propios, basta con ejecutar “php -v” en la terminal o crear temporalmente una página con “” para confirmar la versión. Esa página debe eliminarse inmediatamente para evitar que escáneres automatizados la detecten.
Es importante no entrar en pánico ante una versión aparentemente antigua. Algunas distribuciones de Linux aplican los parches sin cambiar el número de versión, por lo que el servidor puede seguir protegido. Se sugiere revisar los avisos de seguridad del proveedor o los registros de cambios del gestor de paquetes para confirmar la presencia de los CVE corregidos.
Por último, se aconseja mantener copias de seguridad actualizadas de archivos y bases de datos, y monitorizar cualquier actividad inusual como nuevos usuarios administradores o picos de tráfico inexplicables. Ante cualquier sospecha, lo más prudente es contactar al proveedor de hosting o al responsable del sistema.
Fuente: xataka