PHP publicó el 21 de octubre de 2026 actualizaciones para corregir dos vulnerabilidades críticas que pueden permitir ejecutar código en servidores sin autenticación. El proyecto pide actualizar de inmediato las instalaciones que atienden solicitudes web. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, se conocen como PHP2Shell.
La advertencia también alcanza a los sitios que usan WordPress. El proyecto del CMS aclaró que la solución corresponde a PHP, el software que ejecuta la aplicación en el servidor, y que no requiere ni tiene prevista una actualización de WordPress para estos problemas. Para el propietario de una web, eso sitúa la corrección en manos de quien administra el servidor o del proveedor de hosting.
Las versiones de PHP que incluyen la corrección
El equipo de PHP publicó una versión de seguridad para cada una de estas ramas. Las versiones anteriores dentro de cada rama deben recibir la corrección:
| Rama | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Las distribuciones de Linux y los proveedores de soporte prolongado recibieron los parches con antelación. PHP recomienda consultar sus paquetes actualizados, algo relevante cuando el proveedor incorpora la corrección a una versión que conserva su numeración anterior.
PHP 8.1 y las ramas más antiguas están fuera del soporte ordinario del proyecto. Ante la gravedad de estos fallos, sus responsables también facilitaron cambios mínimos para PHP 7.4, 8.0 y 8.1 destinados a quienes compilan desde el código fuente o carecen de un proveedor de soporte prolongado.
Por qué Apache con mod_php tiene mayor riesgo
CERT-EU, el servicio de ciberseguridad para las instituciones de la Unión Europea, recoge una puntuación de gravedad de 9.2 sobre 10 en CVSS v4.0 para ambos fallos. Los dos afectan al manejo de memoria, aunque por mecanismos distintos.
En CVE-2026-109618, el agotamiento de memoria puede interrumpir una solicitud cuando sus datos internos todavía están incompletos. Al terminar esa solicitud, PHP puede tratar esos datos inválidos como válidos. CVE-2026-109619 permite que un proceso reutilice, en una solicitud posterior, referencias a memoria que ya se liberó.
El alcance incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera mayor el riesgo con mod_php: existe una explotación demostrada que puede activarse mediante una solicitud sin autenticación, antes de que se ejecute el código de la aplicación.
La prioridad asignada a esa configuración no excluye a las demás. CERT-EU recomienda actualizar todas las instalaciones afectadas y revisar también los productos que incorporan PHP como componente.
CISA pide desconectar los sistemas que no puedan actualizarse
CISA, la agencia de ciberseguridad de Estados Unidos, pide identificar los sistemas que usan PHP y priorizar los que están expuestos a internet. Para las organizaciones que no puedan actualizar de inmediato, recomienda retirar los sistemas basados en PHP de la red hasta aplicar el parche o actualizar.
La agencia señala que un firewall de aplicaciones web, o WAF, puede aportar cierta protección durante ese intervalo. PHP también publicó medidas temporales para reducir la exposición a vías concretas de ataque, pero advierte que solo la actualización resuelve por completo estas vulnerabilidades.
Los reportes sobre ataques deben leerse con su atribución. CISA indicó que no había observado explotación al publicar su alerta del 21 de octubre. Ese mismo día, watchTowr afirmó haberla detectado mediante su red de servidores señuelo. Son observaciones de cada organización, no un recuento común de sitios comprometidos.
En WordPress, la versión de PHP puede consultarse en la información del servidor dentro de Salud del sitio y, en muchos alojamientos, en el panel del proveedor. Ese dato permite al propietario del sitio pedir al responsable del hosting que confirme la aplicación de la corrección correspondiente.
