El 21 de octubre, PHP publicó parches para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como «php2shell». Permiten que alguien ejecute código en tu servidor con una simple petición web, sin usuario ni contraseña. Si tu web funciona con WordPress, Drupal, Laravel o PHP a medida, te afecta.

Qué ha pasado

PHP es el lenguaje con el que funciona una gran parte de la web. El 20 de octubre, su equipo de seguridad avisó de que publicaría una actualización urgente para corregir dos fallos críticos. Ese mismo día se filtraron detalles antes de tiempo, así que PHP adelantó un día los parches, que llegaron el 21.

El primer fallo está en cómo PHP gestiona la memoria cuando se queda sin ella al procesar una petición, por ejemplo una subida de archivos. El segundo deja restos de una petición anterior que el atacante aprovecha en la siguiente.

Lo importante para ti: PHP procesa la petición maliciosa antes de que se ejecute el código de tu web. Por eso un formulario de acceso o un plugin de seguridad no frenan este ataque.

¿Está afectada tu web?

Probablemente sí, si usa PHP. Los fallos afectan a cualquier instalación de PHP que sirva páginas web, y se han demostrado tanto en Apache con mod_php como en PHP-FPM, las dos formas más habituales de ejecutarlo. Estas webs suelen funcionar con PHP:

• WordPress, WooCommerce, PrestaShop, Magento, Joomla y Drupal.
• Aplicaciones hechas con Laravel, Symfony o PHP a medida.
• Servidores cloud con imágenes preinstaladas, como LAMP o LEMP.

PHP a veces viene dentro de otro software, así que puede estar funcionando aunque nadie lo haya instalado a propósito.

Cómo saberlo en dos minutos

En un hosting gestionado, entra en el panel y busca «Versión de PHP». Si no lo encuentras, pregunta a soporte qué versión usa tu web y si ya han aplicado el parche del 21 de octubre. Si tu web la lleva una agencia o un desarrollador, pregúntale hoy.

Versiones con parche

Tu web está protegida si usa una de estas versiones, o una posterior de la misma rama:

• PHP 8.58.5.12
• PHP 8.48.4.27
• PHP 8.38.3.36
• PHP 8.28.2.35

Qué hacer hoy

1. Haz inventarioApunta todas las webs y aplicaciones con PHP, también las antiguas o las que casi no se usan. Empieza por las abiertas a internet.
2. Actualiza PHPSube a la versión con parche de tu rama. Si tu hosting lo hace por ti, confirma que ya está aplicado.
3. Reinicia el servicioReinicia PHP-FPM o Apache para que el servidor cargue la versión nueva. Si no, sigue funcionando la antigua.
4. Comprueba la webRevisa la página de inicio, los formularios y, si tienes tienda, el proceso de compra.
5. Vigila actividad extrañaPide que revisen si algún proceso de PHP ha lanzado comandos o descargado archivos que no debería.

Si no puedes actualizar todavía

El parche es la única solución completa. Mientras llega, estas medidas reducen el riesgo:

• Desconecta la web hasta poder actualizarla. Es lo que recomienda CISA para los sistemas que no se pueden parchear.
• Activa un firewall de aplicaciones web (WAF), como el de tu hosting o Cloudflare. Frena parte de los ataques, pero no sustituye al parche.

Preguntas frecuentes

Fuentes: PHP, aviso de seguridad (21/10/2026); CISA, «Critical Vulnerabilities in PHP Require Immediate Patching» (21/10/2026); Comisión Europea, ENISA, CERT-EU, Europol y red de CSIRT, comunicado conjunto (21/10/2026); watchTowr, Tenable, Datadog Security Labs y The Hacker News (21/10/2026).