Si su web, su tienda online o su intranet funcionan con PHP, y la mayoría de los sitios WordPress lo hacen, conviene revisar hoy mismo qué versión usan. El 21 de octubre de 2026 el proyecto PHP anunció parches de emergencia para dos vulnerabilidades críticas, conocidas como PHP2Shell.
Qué ha pasado
Se trata de dos fallos, CVE-2026-109618 y CVE-2026-109619, ambos con puntuación crítica (9,2 sobre 10). Pueden permitir que un atacante ejecute código en el servidor sin necesidad de iniciar sesión. Uno nace de un error al gestionar la falta de memoria; el otro, de datos de una petición anterior que quedan mal liberados.
La clave para una empresa es que el ataque puede producirse antes de que se ejecute el código de su aplicación. Por eso una contraseña robusta en el panel de administración no basta como defensa.
A quién afecta
A cualquier servidor que ejecute PHP en sus formas habituales (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed). Según el análisis de Fortinet, la configuración con mod_php es la de mayor riesgo. Se contaron decenas de millones de servicios en Internet con versiones potencialmente afectadas, aunque esa cifra incluye servicios que pueden estar protegidos por parches del proveedor.
Un detalle importante: las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad estándar. Si su web aún corre sobre una de ellas, la actualización de PHP deja de ser opcional.
Qué versiones corrigen el problema
Rama de PHP Versión corregida
8.2 8.2.35
8.3 8.3.36
8.4 8.4.27
8.5 8.5.12
Algunos proveedores de hosting y distribuciones aplican el parche sin cambiar el número de versión, así que la cifra que ve en su panel puede engañar. Lo más seguro es preguntar a su proveedor si el paquete incluye la corrección.
Qué debería hacer ahora
- Averigüe qué versión de PHP usa cada web y quién la gestiona. En WordPress, la sección Herramientas → Salud del sitio la indica.
- Actualice a una versión corregida o confirme por escrito con su proveedor que el parche está aplicado.
- Reinicie los servicios PHP tras actualizar y compruebe que el servidor ya usa la versión nueva.
- Active un cortafuegos de aplicaciones web (WAF) o IPS mientras tanto, como protección adicional, nunca como sustituto del parche.
- Revise si ha habido intrusión previa: peticiones raras, procesos inesperados, archivos modificados o conexiones salientes que no reconoce. Instalar el parche no expulsa a un atacante que ya haya entrado.
- Aplique el ajuste temporal recomendado por PHP para un tercer fallo relacionado (CVE-2026-115560): desactivar session.upload_progress.enabled.
Cómo podemos ayudarle
En Procesos llevamos más de 35 años cuidando la infraestructura de empresas en Barcelona. Si no sabe qué versión de PHP corre su web, o quiere que revisemos su servidor y comprobemos que no hay rastros de intrusión, solicite un diagnóstico y le damos una respuesta clara.
Fuentes: Fortinet, «Understanding PHP2Shell vulnerabilities». Datos a fecha de 4 de noviembre de 2026; compruebe el aviso oficial de PHP por si hay novedades.