Dos fallos críticos en PHP podrían permitir que atacantes ejecuten código de forma remota sin iniciar sesión. El equipo de desarrollo ya publicó actualizaciones de seguridad, mientras especialistas advierten que los servidores expuestos deben corregirse cuanto antes.
PHP, uno de los lenguajes más utilizados para desarrollar sitios web y aplicaciones del lado del servidor, se encuentra en el centro de una alerta de ciberseguridad. El 21 de octubre de 2026, su equipo de desarrollo publicó actualizaciones para corregir dos vulnerabilidades críticas que podrían permitir a un atacante ejecutar código malicioso en un servidor vulnerable sin necesidad de contar con una cuenta o contraseña.
Los fallos fueron identificados como CVE-2026-109618 y CVE-2026-109619, y se han relacionado con el nombre PHP2Shell. La gravedad del problema llevó a organismos de ciberseguridad a recomendar que las organizaciones revisen sus instalaciones y apliquen los parches de inmediato.
La advertencia no afecta únicamente a proyectos creados directamente con PHP. También puede involucrar plataformas, aplicaciones y servicios que incorporan este lenguaje en su infraestructura.
Puedes consultar el aviso original en el sitio oficial de PHP, que publicó las actualizaciones de seguridad y la alerta técnica de CERT-EU sobre las vulnerabilidades críticas.
¿Qué hace tan peligroso a PHP2Shell?
El principal riesgo es la posibilidad de ejecutar código de forma remota, conocida como Remote Code Execution (RCE). En términos sencillos, un atacante podría enviar una solicitud especialmente preparada para aprovechar un fallo del servidor y ejecutar instrucciones que no debería poder ejecutar.
Las dos vulnerabilidades tienen causas técnicas diferentes. La primera, CVE-2026-109618, está relacionada con el manejo de situaciones en las que PHP se queda sin memoria. La segunda, CVE-2026-109619, involucra un problema de uso de memoria que ya ha sido liberada, conocido como use-after-free.
Si un ataque tiene éxito, las consecuencias dependerán de los permisos del proceso afectado y de la configuración del sistema. Entre los posibles riesgos están el acceso a información sensible, la modificación de archivos, la instalación de herramientas maliciosas o el uso del servidor como punto de partida para otros ataques.
El equipo de PHP señaló que las instalaciones que procesan solicitudes web están expuestas si utilizan versiones vulnerables. Entre los entornos que deben revisarse se encuentran PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
Las versiones vulnerables ya tienen actualizaciones
El equipo de PHP publicó versiones corregidas el 21 de octubre. Las versiones que incorporan las soluciones para las dos vulnerabilidades principales son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las versiones anteriores de estas ramas están afectadas por los fallos descritos. Las ramas PHP 8.1 y anteriores también requieren atención, ya que han llegado al final de su ciclo de soporte y no reciben actualizaciones ordinarias del proyecto.
Los administradores deben comprobar qué versión ejecutan sus servidores y consultar las actualizaciones que proporciona su distribución de Linux, proveedor de alojamiento o fabricante de la plataforma. Puedes revisar las instrucciones directamente en el aviso de seguridad oficial de PHP.
Actualizar es la principal medida para corregir estas vulnerabilidades. Si un sistema no puede recibir el parche inmediatamente, su responsable debe valorar medidas temporales para reducir la exposición, incluida la posibilidad de retirar de Internet los servicios vulnerables hasta que puedan protegerse.
El problema no terminó con los primeros parches
La situación requiere atención adicional: el 23 de octubre se publicó información sobre una tercera vulnerabilidad, identificada como CVE-2026-115560, que también podría conducir a la ejecución remota de código en circunstancias específicas.
Según CERT-EU, este tercer fallo requiere una combinación poco habitual de configuración de PHP y comportamiento de la aplicación. Además, no está corregido por las actualizaciones publicadas el 21 de octubre.
Esto significa que instalar los primeros parches es fundamental, pero los responsables de sistemas deben seguir consultando los avisos oficiales para determinar si necesitan aplicar medidas adicionales. Las instrucciones específicas para esta vulnerabilidad están disponibles en el aviso actualizado de CERT-EU.
¿Qué deberían hacer los administradores de sitios web?
Ante una alerta de esta magnitud, los responsables de infraestructura deberían actuar con rapidez y mantener un registro de las acciones realizadas. Las principales medidas son:
- Identificar todas las instalaciones de PHP, incluidas las integradas en aplicaciones de terceros, contenedores y paneles de administración.
- Comprobar las versiones instaladas y aplicar las actualizaciones correspondientes.
- Revisar los avisos del proveedor de alojamiento o de la distribución utilizada.
- Analizar los registros del servidor en busca de actividad inusual, especialmente si el sistema permaneció expuesto después de hacerse pública la vulnerabilidad.
- Investigar posibles indicios de compromiso antes de dar por resuelto el incidente.
Un detalle importante es que actualizar PHP no elimina necesariamente las consecuencias de un ataque que ya haya ocurrido. Si existen indicios de acceso no autorizado, también será necesario investigar el sistema, preservar los registros y retirar cualquier componente malicioso que pudiera haberse instalado.
Una alerta que demuestra la importancia de mantener actualizado el software
PHP continúa siendo una tecnología fundamental para numerosos sitios y aplicaciones web. Por eso, una vulnerabilidad que afecta a su funcionamiento interno puede tener repercusiones mucho más amplias que un fallo limitado a una única página.
PHP2Shell demuestra que la seguridad no depende exclusivamente de contraseñas robustas o de proteger los formularios de una aplicación. También es necesario mantener actualizados el lenguaje, el servidor web, las dependencias y los componentes que forman parte de la infraestructura.
Por ahora, la recomendación principal es clara: comprobar las versiones utilizadas, instalar las correcciones disponibles y mantenerse atento a nuevos avisos de seguridad. En sistemas que procesan solicitudes desde Internet, retrasar una actualización crítica puede dejar una oportunidad abierta para los atacantes.
