Saltar al contenido
GRUPO ORO

● ORO://alerta de seguridad · php2shell

PHP2Shell: comprueba en 1 minuto si tu web está en peligro

Última actualización:

Se han publicado dos fallos críticos en PHP, con una gravedad de 9,2 sobre 10, que permiten a un atacante tomar el control del servidor de una web sin usuario ni contraseña. Si tu web está hecha con WordPress, Joomla, Drupal o cualquier otra cosa que funcione con PHP, tienes que comprobarla hoy.

¿No sabes cómo hacerlo? Escríbenos y te decimos si tu web está afectada.

Escríbenos por WhatsAppPrefiero dejar mis datos

en 1 minuto

Lo que tienes que hacer

  1. 1. Mira qué versión de PHP usa tu web (abajo te decimos dónde).
  2. 2. Si es anterior a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (según tu rama), actualiza PHP ya.
  3. 3. Si es 8.1 o más antigua, no hay versión oficial corregida: hay que pasar a una versión con soporte.
  4. 4. Actualizar WordPress no sirve: lo que hay que actualizar es PHP, en el servidor.

01 · qué es

Qué es PHP2Shell, sin tecnicismos

PHP es el programa que hay en el servidor y que hace funcionar la mayoría de webs con gestor de contenidos, como WordPress, Joomla o Drupal. El 21 de octubre de 2026 el equipo de PHP publicó parches de urgencia para dos fallos, CVE-2026-109618 y CVE-2026-109619, conocidos como «PHP2Shell», con una gravedad de 9,2 sobre 10.

Con ellos, un atacante puede ejecutar código en el servidor de tu web sin iniciar sesión, con los mismos permisos que tiene la propia web. Afecta a todas las instalaciones de PHP que sirven páginas web, se monten como se monten (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed).

Los detalles se filtraron antes de que saliera el parche. La CISA no había visto ataques al publicar su aviso, pero Amazon registró un intento de explotación el 17 de octubre, cuatro días antes de que se hiciera público, y Cloudflare confirma que ya ve ataques contra los dos fallos.

02 · ¿me afecta?

Cómo ver qué versión de PHP tiene tu web

Si tu web funciona con PHP, te afecta salvo que ya tenga una versión corregida. Elige tu caso:

hosting con panel

IONOS, Plesk o cPanel

Entra en el panel de tu hosting y busca el apartado PHP de tu dominio («Configuración de PHP», «PHP Settings», «Select PHP Version» o «MultiPHP Manager», según el panel). Ahí aparece la versión exacta.

desde wordpress

Salud del sitio

En el escritorio de WordPress: Herramientas › Salud del sitio › Información › Servidor. Busca la línea «Versión de PHP».

servidor propio o vps

Por terminal

Ejecuta php -v. Ojo: la versión que importa es la que sirve la web (PHP-FPM, el módulo de Apache o la imagen del contenedor), que no siempre coincide con la de la terminal.

Tu versión → qué hacer

  • ● PHP 8.5

    Actualiza a la 8.5.12 o posterior.

  • ● PHP 8.4

    Actualiza a la 8.4.27 o posterior.

  • ● PHP 8.3

    Actualiza a la 8.3.36 o posterior.

  • ● PHP 8.2

    Actualiza a la 8.2.35 o posterior. Ojo: la 8.2 deja de tener soporte el 31 de diciembre de 2026, así que planifica el salto a una rama más nueva.

  • ● PHP 8.1 y 8.0

    No hay versión oficial corregida. Cambia a una rama con soporte (8.2.35 o posterior) o pide a tu proveedor el parche para tu versión. Si no puedes hacerlo ya, la CISA recomienda desconectar la web hasta arreglarlo.

  • ● PHP 7.4 y anteriores

    Igual que la 8.1: no hay versión oficial corregida. Hay que migrar a una versión con soporte y corregida. Es la situación más urgente.

Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si ya tienes una de ellas o una posterior, estás protegido frente a estos dos fallos. Si tu PHP viene de tu distribución de Linux (Ubuntu, Debian, Red Hat…), las distribuciones recibieron los parches por adelantado y los publican en sus propios paquetes: fíjate en el aviso de seguridad de tu distribución, no solo en el número de versión.

03 · cómo se arregla

Cómo se arregla, según dónde esté tu web

caso 1

Hosting compartido (IONOS, Plesk, cPanel…)

  1. Haz una copia de seguridad de la web antes de tocar nada.
  2. En el apartado de PHP del panel, elige una versión corregida (8.2.35 o posterior; mejor una rama más nueva que sea compatible con tu web) y guarda.
  3. Abre la web y revisa que todo funciona: formularios, tienda, acceso al panel.
  4. Si el panel no ofrece ninguna versión corregida, abre una incidencia con tu proveedor y pídeselo indicando los fallos CVE-2026-109618 y CVE-2026-109619.

caso 2

VPS o servidor propio

  1. Actualiza los paquetes de PHP del sistema con el gestor de tu distribución (por ejemplo, apt update && apt upgrade en Debian o Ubuntu, dnf upgrade en Red Hat y derivadas).
  2. Reinicia PHP-FPM y el servidor web para que todos los procesos carguen la versión nueva, por ejemplo:
    # el nombre del servicio cambia según tu versión
systemctl restart php8.3-fpm
# y el servidor web (apache2 o nginx)
systemctl restart apache2
  3. Si usas contenedores (Docker), reconstruye la imagen con la versión corregida y vuelve a desplegar; reiniciar el contenedor con la imagen vieja no basta.
  4. Comprueba la versión otra vez. Si usabas el repositorio de terceros rpms.remirepo.net, que al principio no tendrá actualizaciones, pasa a los paquetes de tu distribución o compila PHP desde el código oficial.
si hoy no puedes actualizarMitigación parcial (para técnicos)

Según el equipo de PHP, no hay ninguna mitigación completa: actualizar es la única opción segura. Esto solo reduce el riesgo mientras actualizas.

Para CVE-2026-109618: fija memory_limit=-1 de forma que la aplicación no pueda cambiarlo (con php_admin_value en el pool de FPM o en la configuración de Apache) y combínalo con un límite de memoria del contenedor o del cgroup (no RLIMIT_AS ni RLIMIT_DATA). Baja post_max_size a 8M si la web no recibe archivos, o a 32M si los recibe, con upload_max_filesize por debajo.

; pool de PHP-FPM (p. ej. /etc/php/8.x/fpm/pool.d/www.conf)
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M        ; 32M si hay subidas
php_admin_flag[session.upload_progress.enabled] = off

Para CVE-2026-109619: pon session.upload_progress.enabled=0 en php.ini, en el pool de FPM o en la configuración del servidor (no sirve ini_set() ni .user.ini) y reinicia todos los procesos de PHP. En PHP 8.5, además, fatal_error_backtraces=0.

Un cortafuegos de aplicaciones web (WAF) puede dar algo de protección mientras tanto: Cloudflare ha activado reglas para estos fallos para todos sus clientes, también los del plan gratuito.

Descargar el parche oficial (php.net) ↗

La única fuente fiable es php.net o tu proveedor de hosting. No descargues «parches» de PHP de ninguna otra web ni de enlaces que te lleguen por correo, WhatsApp o redes sociales: es justo lo que hacen los atacantes. Y en la mayoría de casos no hace falta descargar nada: se actualiza desde el panel del hosting o con el gestor de paquetes del servidor.

04 · importante

Actualizar WordPress o sus plugins no lo arregla

El fallo está en PHP, el programa del servidor que ejecuta WordPress, no en WordPress. En la demostración del equipo de PHP con Apache y mod_php, el ataque se dispara antes de que llegue a ejecutarse el código de la web. Tu WordPress puede estar al día y tu web seguir expuesta: hay que actualizar PHP en el servidor.

ORO://te ayudamos

¿No sabes cómo hacerlo? Escríbenos y te decimos si tu web está afectada

Mándanos la dirección de tu web por WhatsApp o déjanos tus datos y te responde una persona del equipo de Grupo Oro.

Escríbenos por WhatsApp

o cuéntanoslo por escrito

Preguntas frecuentes

¿Qué es PHP2Shell?

Es el nombre con el que se conocen dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, con una gravedad de 9,2 sobre 10. Permiten a un atacante ejecutar código en el servidor de una web sin iniciar sesión. PHP publicó los parches el 21 de octubre de 2026.

¿Cómo sé qué versión de PHP tiene mi web?

En el panel de tu hosting (IONOS, Plesk, cPanel…) hay un apartado de PHP que muestra la versión de cada dominio. En WordPress lo ves en Herramientas › Salud del sitio › Información › Servidor. Si tienes servidor propio, con el comando php -v (y comprobando la versión de PHP-FPM o del módulo de Apache que sirve la web).

¿Actualizar WordPress o los plugins lo soluciona?

No. El fallo está en PHP, el programa del servidor que ejecuta WordPress. Tu WordPress puede estar al día y tu web seguir expuesta. Hay que actualizar PHP en el servidor.

¿Dónde descargo el parche?

Solo en php.net o a través de tu proveedor de hosting o de tu distribución de Linux. En la mayoría de casos no hay que descargar nada: se cambia la versión en el panel del hosting o se actualiza el paquete del sistema. No descargues «parches» de PHP de ninguna otra web ni de enlaces que te lleguen por correo o redes.

Tengo PHP 7.4, 8.0 u 8.1. ¿Qué hago?

Esas versiones ya no reciben actualizaciones del proyecto PHP y no tienen una versión oficial corregida. Lo recomendable es pasar a una versión con soporte (8.2.35 o posterior) o pedir a tu proveedor un parche para tu versión. Si no puedes hacerlo ya, la CISA recomienda desconectar la web hasta que esté corregida.

¿Ya están atacando webs con este fallo?

La CISA no había visto ataques cuando publicó su aviso, pero Amazon registró un intento de explotación el 17 de octubre de 2026, cuatro días antes de que se hiciera público, y Cloudflare ha confirmado que ya ve ataques contra los dos fallos. Por eso conviene actualizar hoy mismo.

Fuentes

Página informativa de Grupo Oro, actualizada el 22 de octubre de 2026 con los datos publicados por las fuentes de arriba. Si cambian, la actualizaremos.