PHP2Shell: dos fallos críticos en PHP permiten tomar el control de servidores sin contraseña; ya hay intentos de ataque

El proyecto PHP, el lenguaje con el que funciona buena parte de los sitios web del mundo, publicó el 21 de octubre parches de urgencia para dos vulnerabilidades críticas bautizadas como PHP2Shell. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9.2 sobre 10 y permiten a un atacante ejecutar código en el servidor sin necesidad de iniciar sesión.

El riesgo no depende del código del sitio: afecta al motor de PHP en configuraciones como PHP-FPM, php-cgi, FrankenPHP, LiteSpeed y Apache con mod_php. Los investigadores confirmaron la explotación contra Magento y otras aplicaciones, y empresas como Cloudflare reportaron ataques que ya aprovechaban la falla. Además, uno de los errores puede exponer datos en memoria como contraseñas, llaves de API o certificados.

Qué versiones están protegidas

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Un sitio está protegido si su versión es igual o superior a la de su rama. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto, por lo que deben considerarse vulnerables salvo que el proveedor haya aplicado el parche por su cuenta.

Qué hacer en una empresa

Revisar la versión exacta en el panel del hosting o con el comando php -v, actualizar y reiniciar Apache, PHP-FPM y los procesos que mantengan PHP en memoria, porque sin reinicio el parche no se carga. Si el sitio está con un proveedor, conviene pedirle por escrito la confirmación de que aplicó la corrección del 21 de octubre.

Después de actualizar, hay que vigilar señales de intrusión: archivos desconocidos, usuarios administradores nuevos, picos de errores 500 o reinicios inexplicables. Respaldar archivos y base de datos antes de cualquier cambio es la primera medida.