El Gobierno británico reportó el 22 de octubre de 2026 que 32 servicios estaban fuera de línea y otros cuatro funcionaban de forma parcial tras las fallas PHP2Shell. La mayor parte de las interrupciones respondió a medidas preventivas mientras se aplicaban las correcciones.
La ministra, la baronesa Lloyd of Effra, presentó ese balance ante la Cámara de los Lores. También dijo que el Gobierno central no tenía constancia de intrusiones confirmadas por estas vulnerabilidades. El número de servicios suspendidos refleja, por tanto, el impacto sobre su disponibilidad.
La corrección corresponde al software del servidor
PHP genera en el servidor el contenido que recibe el navegador. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte que también puede estar incorporado en otros productos.
El equipo de PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir CVE-2026-109618 y CVE-2026-109619. Las fallas pueden permitir que un atacante ejecute código sin autenticarse en un servidor vulnerable.
Como contamos en nuestra cobertura de las correcciones de PHP2Shell, las actualizaciones alcanzan distintas ramas del lenguaje. El proyecto insiste en que las medidas temporales reducen la exposición a vías concretas de ataque, pero solo la actualización ofrece una solución completa.
Qué trabajo queda antes de recuperar los servicios
La guía del NCSC pide identificar los sistemas que utilizan PHP, priorizar los expuestos a internet y aplicar las actualizaciones. Si una organización no puede adoptar las medidas temporales de protección, o hacerlo tomaría demasiado tiempo, aconseja considerar la desconexión hasta poder proteger el sistema.
La agencia también recomienda buscar indicios de intrusión y puertas traseras antes de actualizar o mitigar cuando el responsable no pueda actualizar ni desactivar el sistema de inmediato. Esa revisión responde a lo que pudo ocurrir durante la exposición previa.
Las recomendaciones distinguen la instalación del parche y la búsqueda de intrusiones.
Para los productos y servicios que incorporan PHP como componente, el NCSC pide seguir los avisos de sus proveedores y aplicar las actualizaciones pertinentes a medida que estén disponibles.
