Cybertix Logo
Actualidad Cybertix
← Volver a Noticias
ALERTA · CIBERSEGURIDAD

Alerta PHP2Shell: vulnerabilidad crítica en PHP: qué es y cómo proteger tu web hoy

El 21 de octubre de 2026 el equipo de PHP publicó una actualización de emergencia que corrige dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell (CVSS v4.0: 9.2). Permiten ejecutar código de forma remota en el servidor, previsiblemente sin contraseña, y ya se han observado intentos de explotación. Afectan a cualquier web o aplicación que funcione sobre PHP (WordPress, Drupal, Joomla, Magento, Laravel, Moodle o intranets propias). La solución es actualizar PHP a la versión corregida: 8.2.35, 8.3.36, 8.4.27 u 8.5.12.

Nivel de peligro: CRÍTICO. Explotación activa reportada · Ejecución remota de código · Actuar en horas, no en días.

Si no eres técnico: qué debes saber y hacer hoy

En 30 segundos

Qué ocurre
hay un fallo grave en PHP, el lenguaje en el que están hechas millones de webs. Un atacante podría tomar el control del servidor que aloja tu web.
A quién afecta
a tu empresa si tienes una web corporativa, una tienda online, una intranet o un portal hecho con PHP. Si usas WordPress, funciona sobre PHP.
Qué hay que hacer
que quien gestiona tu web o tu hosting actualice PHP hoy. Actualizar WordPress o sus plugins no corrige este fallo: hay que actualizar PHP en el servidor.

¿Me afecta? Compruébalo en dos minutos

  • ¿Tu empresa tiene web, tienda online, intranet, extranet, plataforma de formación o software de gestión accesible desde internet?
  • ¿Lo gestiona un proveedor, una agencia o un hosting? Entonces ellos tienen que actuar y tú, pedirles confirmación.
  • ¿Usas WordPress? En el panel, en Herramientas → Salud del sitio → Información → Servidor verás la versión de PHP.

Cinco pasos sencillos

  1. Haz una lista de todas las webs y aplicaciones online de tu empresa y de quién las gestiona.
  2. Escribe hoy a tu proveedor o hosting y pide confirmación por escrito.
  3. Pide una copia de seguridad reciente antes de que actualicen, y que comprueben que funciona.
  4. Si tu PHP es antiguo (8.1 o anterior), no hay parche oficial. Hay que migrar con urgencia. Hasta entonces, conviene aislar ese servidor o protegerlo con medidas adicionales.
  5. Vigila señales raras en tu web (páginas que no reconoces, redirecciones extrañas, lentitud inusual, avisos del hosting). Si las ves, no esperes: avísanos.

Cómo podemos ayudarte en Cybertix

No hace falta que entiendas todo esto para estar protegido: para eso estamos. Hoy mismo podemos ayudarte con:

  • Inventario rápido de activos expuestos con PHP y su versión efectiva.
  • Planificación y verificación del parcheo en servidores, paneles y contenedores.
  • Contención temporal (WAF, restricción de acceso) en sistemas que no puedan parchearse.
  • Análisis de compromiso y respuesta a incidentes, incluido el análisis forense, si detectas actividad sospechosa.
  • Vigilancia continua con el SOC 24×7 All-in-One, para que la próxima alerta no te pille desprevenido.
Contacto urgente

Cada alerta de este tipo repite la misma lección: saber qué tienes, poder actualizarlo rápido, no mantener software sin soporte, tener copias que funcionen y un plan para actuar. Es la ciberseguridad de fondo que ayudamos a construir, para que tú puedas seguir dedicándote a tu negocio sin preocupaciones ni alteraciones. Y si desarrollas tus propias aplicaciones, la seguridad desde el diseño reduce el impacto de fallos como este.

Preguntas frecuentes

¿Qué es PHP2Shell?

Es el nombre con el que se conocen dos vulnerabilidades críticas en el propio lenguaje PHP, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código de forma remota en el servidor. Tienen una puntuación CVSS v4.0 de 9.2 y se publicó su corrección el 21 de octubre de 2026.

¿Qué versiones de PHP corrigen PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones 8.1 y anteriores no reciben parche oficial.

¿Está afectada mi web de WordPress?

Si funciona con una versión de PHP sin parchear, sí. Actualizar WordPress o sus plugins no corrige el fallo: hay que actualizar PHP en el servidor. Tu hosting o proveedor puede hacerlo, y conviene pedirle confirmación escrita.

¿Cómo sé qué versión de PHP uso?

En WordPress: Herramientas → Salud del sitio → Información → Servidor. En otros casos, tu hosting o tu equipo técnico puede indicártela. No publiques un fichero phpinfo() para comprobarlo.

¿Puedo protegerme sin actualizar?

Solo de forma temporal: un WAF con reglas actualizadas, limitar el acceso por VPN o retirar el sistema de internet. Los cambios de configuración no resuelven el fallo según el equipo de PHP. La solución definitiva es el parche.

¿Qué hago si uso PHP 7 u 8.1?

No hay parche oficial, hay que migrar a una versión soportada o contratar soporte extendido que confirme la corrección y, mientras tanto, aislar el servidor o protegerlo con VPN y WAF.

¿Cómo sé si ya me han atacado?

Busca ficheros PHP nuevos o modificados, procesos y conexiones inusuales y caídas repetidas de PHP. Si tienes dudas, consúltanos: parchear no elimina una intrusión previa.

¿Tengo que notificarlo?

Si hay una brecha de datos personales, el RGPD exige notificarla a la autoridad de protección de datos en un plazo máximo de 72 horas desde que se tiene conocimiento. NIS2 y el ENS pueden añadir obligaciones según tu caso.