PHP2Shell: vulnerabilidades críticas en PHP

El 21 de octubre de 2026 se publicaron parches de emergencia para dos vulnerabilidades críticas en PHP, apodadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Ambas tienen una calificación de 9.2 sobre 10 (CVSS 4.0) y permiten a un atacante ejecutar código en tu servidor sin necesidad de usuario ni contraseña.

Qué es, en palabras simples

El fallo no está en tu página web ni en tu aplicación: está en PHP, el motor que hace funcionar a la mayoría de los sitios del mundo. Eso significa que una web puede estar perfectamente programada y aun así ser vulnerable, porque el problema vive una capa más abajo.

Un atacante puede enviar una sola petición maliciosa a tu sitio y lograr que el servidor ejecute sus órdenes. A partir de ahí puede robar información, instalar malware o tomar control del servidor. Una de las fallas también permite leer la memoria de los procesos de PHP, donde pueden quedar contraseñas, tokens y llaves de API de otros visitantes.

¿A quién afecta?

Prácticamente a cualquier sitio que use PHP: WordPress, WooCommerce, Joomla, Drupal, Magento, Laravel y desarrollos a la medida. Afecta todas las formas de ejecutar PHP (Apache mod_php, PHP-FPM, php-cgi, LiteSpeed, FrankenPHP), siendo mod_php el de mayor riesgo porque el ataque se dispara antes de que corra el código de tu aplicación.

Según los investigadores, las versiones afectadas llegan hacia atrás hasta PHP 5.4. Cloudflare y otros ya reportaron intentos de explotación activos apenas se publicó la falla.

Qué tenés que hacer (en orden)

1. Actualizar PHP a una versión con el parche. Es la única solución real.
2. Reiniciar el servicio web (Apache, PHP-FPM) después de actualizar, o reiniciar el servidor.
3. Si tu sitio está en un hosting administrado (como SiteGround, cPanel gestionado, etc.), confirmá con tu proveedor que ya aplicó el parche. Muchos lo hacen automáticamente, pero conviene verificarlo.

Versiones de PHP ya corregidas

• PHP 8.5 → 8.5.12
• PHP 8.4 → 8.4.27
• PHP 8.3 → 8.3.36
• PHP 8.2 → 8.2.35

PHP 8.1 y anteriores ya no reciben soporte oficial. Si usás una de esas versiones, lo urgente es planificar la migración a 8.2 o superior. (Nota: algunos hostings aplican el parche "por detrás" y mantienen el mismo número de versión; en ese caso hay que verificar el changelog del paquete que mencione los CVE.)

Mitigaciones temporales (si no podés actualizar ya)

No reemplazan al parche, solo reducen el riesgo mientras actualizás:

• Para CVE-2026-109618: fijar memory_limit=-1 para que las aplicaciones no puedan sobrescribirlo, mantener post_max_size bajo y limitar el tamaño de las peticiones en el servidor web.
• Para CVE-2026-109619: poner session.upload_progress.enabled=0 y reiniciar los procesos. En PHP 8.5, además fatal_error_backtraces=0.

Cómo saber si ya estás protegido

Revisá qué versión de PHP usa tu sitio (en cPanel/Site Tools suele estar en "PHP Manager") y comparala con la lista de arriba. Si tu proveedor dice "se actualiza automáticamente", pedile confirmación de que el parche de PHP2Shell ya está aplicado.

Señales de un posible ataque

• Peticiones multipart inusuales seguidas de errores de límite de memoria o respuestas HTTP 500 repetidas.
• Cookies PHPSESSID anormalmente grandes.
• Reinicios inexplicables de los procesos de PHP.

Fuentes

• Ubuntu — php2shell (CVE-2026-109618 y CVE-2026-109619)
• The Hacker News — PHP issues emergency patches for PHP2Shell
• JFrog Security Research — PHP2Shell: all you need to know