PHP2Shell: la falla crítica en PHP que pone en riesgo a millones de sitios web y cómo protegerte

Si tienes una página web, hay muchas chances de que funcione con PHP. Es el lenguaje que hay detrás de WordPress y de buena parte de internet: se estima que lo usa entre el 75 % y el 80 % de los sitios. Por eso la alerta de este miércoles hizo ruido en todo el mundo.

El equipo de PHP lanzó actualizaciones de emergencia para dos fallas críticas que, juntas, ya tienen nombre propio: PHP2Shell. El aviso previo había salido el martes 20 y los parches llegaron el 21 de octubre.

¿Qué es PHP2Shell?

Son dos vulnerabilidades distintas con un problema de fondo en común: PHP puede dejar su memoria en mal estado cuando una petición termina de forma anormal. Un atacante puede aprovechar ese desorden para ejecutar su propio código en el servidor.

• CVE-2026-109618: se dispara cuando PHP se queda sin memoria a mitad de una petición y luego trata como válidos datos que estaban a medio armar.
• CVE-2026-109619: aprovecha información que queda “colgada” de una petición anterior y que la siguiente usa antes de limpiarla.

Las dos recibieron una puntuación de 9,2 en la escala CVSS 4.0, que va hasta 10. Lo más grave es que no hace falta iniciar sesión para explotarlas.

¿Qué sitios están en riesgo?

Según el propio equipo de PHP, cualquier instalación que atienda peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El caso más delicado es mod_php, donde ya se demostró un ataque que se activa antes de que corra el código de la página.

VirusTotal calcula que hay más de 5,1 millones de servidores con PHP expuestos en internet.

¿Ya hay ataques?

Sí. Cloudflare activó reglas de protección para todos sus clientes, incluidos los gratuitos, y su director de tecnología, Dane Knecht, confirmó que ya estaban viendo los primeros intentos de ataque. Aclaró que esas reglas son temporales.

El Centro Nacional de Ciberseguridad del Reino Unido fue más lejos: pidió actualizar de inmediato o sacar de línea los sistemas afectados hasta poder parchearlos. Bloomberg informó que algunos gobiernos ya dieron de baja sitios mientras actualizan.

¿Qué versión de PHP tengo que instalar?

Las versiones corregidas son:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Si usas PHP 8.1 o una versión más vieja, el proyecto ya no les da soporte oficial, aunque publicó parches mínimos para 7.4, 8.0 y 8.1. Ojo con PHP 8.2: deja de recibir actualizaciones el 31 de diciembre de 2026.

PHP también sugirió algunos ajustes de configuración para ganar tiempo, pero fue claro: ninguno protege del todo. La única solución real es actualizar.

Tengo un sitio en WordPress y no toco el servidor, ¿qué hago?

Si tu web está en un hosting administrado, lo normal es que el proveedor actualice PHP por su cuenta. Igual conviene entrar al panel, revisar qué versión de PHP tiene tu sitio y, si ves una opción para subir a una de las versiones de la lista, hacerlo. Ante la duda, escríbele hoy mismo al soporte de tu hosting.

¿Qué tiene que ver la inteligencia artificial?

Bastante. Según OpenAI, la empresa de seguridad Calif encontró una de estas fallas usando GPT-5.6 Sol, dentro de su programa Patch the Planet. Wiz, otra firma de ciberseguridad, descubrió y reportó las dos por su cuenta.

OpenAI dice que la inteligencia artificial encontró estas fallas antes que los atacantes y adelantó que espera que este tipo de hallazgos crezca mucho en los próximos meses. Para el Wall Street Journal, es uno de los primeros casos en que una IA destapa un problema de este tamaño.

Preguntas rápidas

¿Afecta a los visitantes de una página? El riesgo directo es para los servidores. Si un sitio es atacado, sí pueden quedar expuestos los datos que guarda.

¿Cómo sé qué versión de PHP uso? En WordPress, entra a Herramientas > Salud del sitio > Información > Servidor.

¿Alcanza con Cloudflare? No. Sus reglas ayudan, pero la propia empresa aclaró que son una medida temporal.

Fuentes: PHP: avisos de seguridad del 20 y 21 de octubre · BleepingComputer · OpenAI · Cloudflare · NCSC (Reino Unido)