Vulnerabilidad PHP2Shell: actualiza PHP ya o pueden entrar a tu web
Por MatchCode
Si su página web usa PHP, la vulnerabilidad PHP2Shell le toca, y la respuesta corta es actualizar ya. Son dos fallas críticas que dejan a un atacante ejecutar comandos en tu servidor con una sola petición, sin iniciar sesión. El parche salió el 21 de octubre de 2026.
Qué es la vulnerabilidad PHP2Shell
PHP2Shell son dos vulnerabilidades críticas de ejecución remota de código (RCE) en PHP: CVE-2026-109618 y CVE-2026-109619.
«Ejecución remota de código» significa que alguien desde internet logra que tu servidor corra los comandos que él elige. La prueba más simple es whoami («¿quién soy en esta máquina?»). Si el servidor contesta, el atacante ya está dentro.
Por qué te afecta aunque no tengas una página en PHP
Según W3Techs, el 69.3 % de los sitios cuyo lenguaje de servidor se conoce usa PHP (ojo: no es el 69 % de toda la web). Y estas fallas llevan más de diez años ahí, desde PHP 5.4.
WordPress, tiendas, foros: detrás suele haber PHP. Aunque no programes en PHP, casi seguro usas alguna página que sí.
Cómo PHP atiende una petición: los meseros
Cuando alguien envía un formulario, PHP primero desempaca la petición: arma los datos (usuario, correo, mensaje) y solo después se los pasa a tu código. Lo hacen trabajadores (workers), procesos de larga vida, como meseros que atienden mesa tras mesa, cada uno con su propia memoria.
La clave: todo esto pasa antes de que corra tu aplicación.
La primera falla: memoria agotada a mitad del desempaque
- El atacante manda un POST de varios megas para agotar la memoria de PHP mientras arma los datos.
- PHP frena con un error. Hasta ahí, normal.
- Lo grave: frena con los datos internos a medio armar, y al limpiar los trata como válidos.
- Por esa grieta, el atacante ejecuta código.
Las fuentes lo llaman «RCE via OOM corruption». Es un mesero que se queda sin espacio a mitad de la comanda y aun así la sella con un «OK».
La segunda falla: el mesero que no limpia la mesa
Algo del estado de una petición sobrevive aunque PHP ya liberó su memoria, y la siguiente petición del mismo trabajador lo usa («stale global state»). Es una mesa con los platos sucios del cliente anterior y un letrero de «mesa limpia». Si lo que quedó lo dejó el atacante, ahí mete sus comandos.
Por qué tu código no te salva
Aunque valides cada campo, todo ocurre mientras PHP desempaca, y tu código nunca alcanza a correr. Por eso la corrección está en PHP, no en tu aplicación.
La filtración: por qué el parche se adelantó
La divulgación estaba prevista para el 22 de octubre, ya con parche. Pero el 20 se filtraron capturas y videos de la herramienta PHP2Shell funcionando: los atacantes supieron que el hueco era real y más o menos dónde buscar.
El parche se adelantó al 21 de octubre, y ya hay ataques reportados por firmas como Patchstack, watchTowr y Aikido.
Cómo protegerte de PHP2Shell: actualizar
Versiones corregidas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si administras tu servidor, actualiza a la versión corregida de tu rama. Si usas hosting, pídale hoy a su proveedor que actualice PHP.
¿Y los filtros de Cloudflare?
Cloudflare desplegó reglas de WAF contra los vectores conocidos. Ayudan, pero solo frenan ataques conocidos; uno distinto puede colarse. SOCRadar menciona también bajar post_max_size y limitar el tamaño de las peticiones. Son mitigaciones: la solución completa sigue siendo actualizar.
Preguntas frecuentes
¿Qué es PHP2Shell?
Dos vulnerabilidades críticas de ejecución remota de código en PHP (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar comandos en el servidor con una sola petición.
¿Mi sitio con WordPress está en riesgo?
Depende de la versión de PHP de su servidor. Si no tiene el parche, el riesgo existe aunque WordPress y los plugins estén al día.
¿Un firewall como el de Cloudflare me protege?
Parcialmente. Solo frena ataques conocidos. Lo único que tapa el hueco es actualizar PHP.
Míralo en 2 minutos
Con los meseros, las comandas y la filtración animados: mira el Short de PHP2Shell en YouTube. Y sigue a MatchCode en YouTube, TikTok e Instagram (@MatchCodeOficial) y en matchcode.dev.