La seguridad de las páginas web vuelve a estar en el punto de mira tras la publicación de una alerta sobre PHP2Shell, un conjunto de dos vulnerabilidades críticas detectadas en el núcleo de PHP. Estos fallos pueden permitir que un atacante ejecute código de forma remota en un servidor vulnerable, sin necesidad de iniciar sesión previamente.
La alerta se hizo pública el 21 de octubre de 2026 y ha provocado que administradores de sistemas, empresas de alojamiento web y responsables de páginas corporativas revisen sus servidores para aplicar las actualizaciones de seguridad correspondientes.
PHP es una tecnología fundamental para millones de sitios web, incluidos los desarrollados con WordPress. Por eso, aunque tu página funcione con normalidad, es importante comprobar si el servidor que la aloja está actualizado.
En este artículo te explicamos qué es PHP2Shell, qué riesgos implica y qué medidas debes tomar para proteger tu web.
¿Qué es PHP2Shell y por qué preocupa a los propietarios de páginas web?
PHP es un lenguaje de programación que se ejecuta en el servidor y permite que una página web gestione formularios, usuarios, bases de datos, tiendas online y otras funciones dinámicas.
El problema de PHP2Shell no se encuentra necesariamente en el diseño de una web, en su plantilla o en sus complementos. Las vulnerabilidades afectan al propio motor de PHP, encargado de procesar las solicitudes que recibe el servidor.
Los dos fallos identificados son:
- CVE-2026-109618: relacionado con errores en la gestión de memoria cuando PHP se queda sin recursos durante determinadas operaciones.
- CVE-2026-109619: relacionado con el uso de información interna de memoria que ya debería haberse liberado.
Ambas vulnerabilidades tienen una puntuación de gravedad de 9,2 sobre 10 según el sistema CVSS 4.0. Bajo determinadas condiciones, pueden permitir la ejecución remota de código sin autenticación.
Esto significa que un atacante podría llegar a ejecutar instrucciones en el servidor afectado, con posibles consecuencias para la seguridad de la página y los datos que almacena.
¿Qué riesgos puede tener PHP2Shell para tu página web?
El impacto depende de la configuración del servidor, los permisos disponibles y las características de la instalación. Entre los riesgos potenciales se encuentran los siguientes:
1. Acceso no autorizado al servidor
Un atacante podría ejecutar código con los permisos del proceso vulnerable. Según esos permisos y la configuración, esto podría facilitar el acceso a archivos o recursos internos.
2. Robo de información
Si consigue acceder a datos sensibles, podría intentar obtener información de clientes, credenciales, archivos privados o datos almacenados en la base de datos.
3. Modificación del contenido de la web
Un servidor comprometido podría utilizarse para modificar páginas, insertar código malicioso, redirigir visitantes o distribuir archivos peligrosos.
4. Interrupciones del servicio
La explotación de los fallos también puede provocar errores, bloqueos de procesos o problemas de disponibilidad. En determinados casos, una página podría dejar de funcionar correctamente.
Importante: la existencia de estas vulnerabilidades no significa que todas las páginas web hayan sido atacadas. Sin embargo, sí justifica revisar cuanto antes la seguridad de cualquier servidor que utilice PHP.
¿Cómo solucionar el problema de PHP2Shell?
La medida fundamental es instalar una versión de PHP que incluya las correcciones de seguridad publicadas por sus desarrolladores.
El proyecto PHP publicó actualizaciones de emergencia el 21 de octubre de 2026 para corregir los dos fallos.
Las versiones corregidas publicadas son:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Estas versiones son referencias mínimas para las ramas indicadas en este aviso. Si tu proveedor ha publicado un paquete de seguridad propio, debes comprobar que incorpora las correcciones correspondientes.
Paso 1. Comprueba qué versión de PHP utiliza tu web
Si utilizas WordPress, puedes consultar la información del servidor desde el panel de administración:
- Accede al escritorio de WordPress.
- Entra en Herramientas → Salud del sitio.
- Abre la pestaña de información.
- Busca la sección correspondiente al servidor y comprueba la versión de PHP.
También puedes consultar esta información desde el panel de tu proveedor de alojamiento web.
Ten en cuenta que la versión mostrada por WordPress puede no ser suficiente para confirmar que el parche está instalado. En algunos servidores, el proveedor aplica correcciones específicas sin cambiar el número de versión visible. Por eso, conviene solicitar una confirmación expresa al alojamiento.
Paso 2. Actualiza PHP desde el alojamiento web
Si tu servidor utiliza una versión vulnerable, contacta con tu proveedor para actualizar PHP a una versión corregida y compatible con tu página.
En muchos alojamientos, la versión puede seleccionarse desde el panel de control. Sin embargo, no conviene cambiarla sin comprobar antes la compatibilidad de WordPress, la plantilla y los complementos instalados.
Una actualización mal planificada puede provocar errores de funcionamiento, aunque el objetivo sea mejorar la seguridad.
Si administras un servidor propio, la actualización debe realizarse mediante los paquetes corregidos de tu sistema o las distribuciones oficiales correspondientes.
Paso 3. Reinicia los procesos afectados y verifica la actualización
Después de instalar el parche, es necesario asegurarse de que los procesos que ejecutan PHP están utilizando realmente la versión corregida. Dependiendo del servidor, puede ser necesario reiniciar o recargar los servicios correspondientes.
A continuación, comprueba que la página carga correctamente y que funcionan los formularios, el acceso de usuarios, la tienda online y el resto de las funciones importantes.
Paso 4. Revisa la seguridad de tu web
Actualizar PHP corrige las vulnerabilidades conocidas, pero no demuestra por sí solo que un servidor nunca haya sido comprometido.
Si tu instalación estuvo expuesta antes de aplicar el parche, es recomendable revisar los registros del servidor, buscar cambios sospechosos en archivos y cuentas, comprobar los accesos administrativos y analizar posibles indicios de actividad maliciosa.
Si existen señales de intrusión, será necesario realizar una investigación de seguridad y, cuando corresponda, cambiar las credenciales afectadas y eliminar cualquier persistencia maliciosa.
¿Actualizar WordPress o sus plugins soluciona PHP2Shell?
No. Esta es una de las cuestiones más importantes que debes tener en cuenta.
Mantener WordPress, los temas y los plugins actualizados es una práctica esencial, pero no sustituye a la actualización del motor PHP del servidor.
PHP2Shell afecta a componentes internos de PHP. Por tanto, una web puede tener WordPress y todos sus plugins actualizados y seguir expuesta si el servidor utiliza una compilación vulnerable.
Del mismo modo, desactivar una función concreta de PHP o instalar un complemento de seguridad no garantiza una protección completa frente a estos fallos.
Un cortafuegos de aplicaciones web (WAF) puede aportar una capa adicional de defensa, pero no sustituye al parche de seguridad.
La solución prioritaria es actualizar PHP o instalar una corrección equivalente proporcionada por un proveedor de confianza.
¿Qué ocurre si tu alojamiento utiliza una versión antigua de PHP?
Las instalaciones antiguas requieren especial atención. El proyecto PHP ya no proporciona actualizaciones estándar para PHP 8.1 y las ramas anteriores, aunque algunos proveedores pueden ofrecer correcciones retroportadas para determinadas versiones.
Si tu web utiliza una versión antigua, solicita al proveedor que confirme si existe un parche específico para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
Si no existe una corrección disponible, puede ser necesario migrar a una versión de PHP con soporte y comprobar previamente la compatibilidad de la web.
No es recomendable mantener indefinidamente una instalación obsoleta por evitar una actualización. Una migración planificada puede reducir riesgos de seguridad y prevenir problemas futuros.
¿Qué deberían hacer las empresas para proteger sus páginas web?
Para una empresa, una página web no es solamente un escaparate digital. Puede ser un canal de captación de clientes, una tienda online o una herramienta que almacena información relevante para el negocio.
Por eso, la seguridad debe formar parte del mantenimiento habitual de cualquier proyecto digital.
Estas son algunas medidas recomendables:
- Mantener PHP y el resto del software actualizado.
- Realizar copias de seguridad periódicas y comprobar que pueden restaurarse.
- Utilizar contraseñas robustas y autenticación multifactor cuando esté disponible.
- Limitar los permisos de usuarios y procesos del servidor.
- Revisar los registros de actividad y los accesos administrativos.
- Mantener una configuración segura del alojamiento web.
- Comprobar la compatibilidad antes de actualizar componentes críticos.
- Disponer de un procedimiento de recuperación ante incidentes.
La prevención permite reducir la probabilidad de sufrir una incidencia y facilita una respuesta más rápida si aparece un problema de seguridad.
Conclusión: actuar a tiempo es fundamental
PHP2Shell recuerda la importancia de mantener actualizado no solo el software visible de una página web, sino también la tecnología que funciona detrás de ella.
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 pueden tener consecuencias graves en servidores vulnerables, pero los desarrolladores de PHP ya han publicado versiones corregidas para las ramas indicadas.
El siguiente paso es comprobar la configuración del alojamiento, aplicar la actualización correspondiente y verificar que los servicios funcionan con normalidad. Si existen indicios de un posible ataque, también será necesario investigar el servidor para descartar una intrusión.
En Maion creemos que una presencia digital sólida necesita algo más que un buen diseño: también requiere mantenimiento, prevención y atención a los riesgos tecnológicos.
¿No sabes si tu página web está protegida frente a PHP2Shell?
En Maion podemos ayudarte a revisar las necesidades de mantenimiento y seguridad de tu proyecto web, identificar los aspectos que conviene comprobar y orientarte sobre las medidas necesarias para mantener tu presencia online en buenas condiciones.
Contacta con Maion y da el siguiente paso para mejorar la seguridad y fiabilidad de tu web.
