PHP2Shell: Lo que las empresas deben saber ahora sobre la vulnerabilidad crítica de PHP

PHP2Shell es el nombre de dos vulnerabilidades críticas de seguridad en el lenguaje de programación PHP (CVE-2026-109618 y CVE-2026-109619), publicadas el 21 de octubre de 2026. A través de ellas, los atacantes pueden ejecutar código malicioso en servidores web sin iniciar sesión y sin intervención de un usuario. El BSI clasifica la situación con nivel de alerta 3/Naranja: las medidas deben adoptarse de inmediato. La única protección eficaz es actualizar a una versión de PHP parcheada.

PHP está detrás de una gran parte de Internet: detrás de WordPress, TYPO3, Joomla, Drupal, Shopware y Magento, pero también detrás de interfaces web de cortafuegos, routers y sistemas de almacenamiento en red. Por eso PHP2Shell no solo afecta a los departamentos de TI, sino a casi cualquier empresa con su propio sitio web. Este artículo resume lo que ha ocurrido y lo que debe hacer ahora. Estado: 24 de octubre de 2026.

¿Qué ha ocurrido?

El 20 de octubre, los desarrolladores de PHP anunciaron con poca antelación una actualización crítica de seguridad, después de que se conocieran detalles de antemano. El 21 de octubre siguieron los parches y las descripciones técnicas. Según Amazon Threat Intelligence, ya hubo un intento de ataque el 17 de octubre, es decir, antes de la publicación. Las vulnerabilidades fueron descubiertas, entre otros, por la empresa de seguridad Calif en el marco de un proyecto con OpenAI y, de forma independiente, por Wiz, en cada caso con el apoyo de modelos de IA.

Los datos más importantes

¿Quiénes están afectados?

• Sitios web y tiendas basados en PHP, como WordPress, TYPO3, Joomla, Drupal o Shopware, independientemente de si el CMS en sí está actualizado. Lo decisivo es la versión de PHP en el servidor.
• Sitios web alojados: En el caso de hosting compartido y servidores gestionados, normalmente el proveedor de hosting es responsable de la actualización de PHP. Pregunte al respecto.
• Servidores y contenedores propios: Quien los opera por su cuenta debe actualizar PHP y reconstruir las imágenes de Docker.
• Dispositivos con interfaz web: Según el BSI, entre otros, productos de F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology y cPanel están al menos parcialmente afectados. Aquí solo ayudan las actualizaciones de firmware de los fabricantes.

Lo que debe hacer ahora

1. Inventario: ¿Qué sitios web, tiendas, servidores y dispositivos con interfaz web opera? PHP como parte de otro software también cuenta.
2. Comprobar la versión de PHP y actualizar a una versión parcheada. Cómo hacerlo lo muestra ¿Está afectada mi página web?.
3. Preguntar al proveedor de hosting y a los prestadores de servicios, si las actualizaciones se han instalado — por escrito, con número de versión.
4. Actualizar el firmware de los dispositivos,en cuanto los fabricantes proporcionen actualizaciones.
5. Si no es posible una actualización: El BSI recomienda considerar la desconexión temporal de Internet, ya que los workarounds no ofrecen una protección completa.
6. Comprobar indicios de un ataque, por ejemplo, nuevos archivos PHP o procesos inusuales. Detalles en ¿Sitio web hackeado?.

Por qué esta vez va tan rápido

El BSI señala que los atacantes, con herramientas asistidas por IA, pueden analizar hoy los parches en poco tiempo y desarrollar ataques a partir de ellos. Consideró probable una explotación generalizada en pocas horas tras la publicación de los parches. El tiempo entre la publicación y el ataque se está reduciendo. Las actualizaciones «en algún momento en las próximas semanas» ya no bastan.

Un firewall de aplicaciones web no es suficiente

Proveedores como Cloudflare han publicado reglas contra vías de ataque conocidas. Un firewall de aplicaciones web (WAF) puede dificultar los ataques, pero, según el BSI y la autoridad estadounidense CISA, no sustituye una actualización. La protección completa solo la ofrecen la aplicación de parches o la desconexión de Internet.

¿No está seguro de si su sitio web, su tienda online o sus dispositivos están afectados? Póngase en contacto con nosotros. Revisamos sus sistemas, instalamos actualizaciones y le decimos con honestidad qué hay que hacer, incluso si resulta que todo está en orden. Para empezar, basta con una breve conversación.

Preguntas frecuentes

¿Qué es PHP2Shell?

PHP2Shell es la denominación de dos vulnerabilidades críticas de seguridad en PHP (CVE-2026-109618 y CVE-2026-109619). Permiten a atacantes ejecutar código malicioso en servidores web con PHP sin necesidad de iniciar sesión. El nombre alude a la conocida vulnerabilidad Log4Shell.

¿Qué versiones de PHP son seguras?

Están corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para las versiones ya no compatibles 7.4, 8.0 y 8.1 existen parches de backport; algunas distribuciones Linux proporcionan sus propias actualizaciones retroportadas.

¿Mi sitio de WordPress está afectado?

Si funciona en un servidor con PHP sin parchear, sí. Una actualización de WordPress por sí sola no basta, porque la vulnerabilidad está en PHP mismo. Lo decisivo es si su proveedor de hosting ha actualizado PHP.

¿Basta con que se encargue mi proveedor de hosting?

En el hosting compartido, por lo general el responsable es el proveedor de hosting. Aun así, pida que le confirmen que las actualizaciones se han instalado y compruebe además si usted opera servidores propios o dispositivos con interfaz web.

Estado: 24 de octubre de 2026. Fuentes: Aviso de seguridad del BSI sobre PHP2Shell, CISA.