Hace unas semanas te contamos sobre wp2shell, una falla del núcleo de WordPress. Hoy el problema está un nivel más abajo: en PHP, el lenguaje con el que funcionan WordPress, WooCommerce y la gran mayoría de sitios web del mundo. Se llama PHP2Shell y es una de las vulnerabilidades más serias del año para cualquier empresa con presencia en internet.
¿Qué es PHP2Shell?
PHP2Shell es el nombre con el que se conocen dos vulnerabilidades críticas de PHP, calificadas con 9.2 de 10 en severidad:
- CVE-2026-109618: cuando PHP se queda sin memoria mientras prepara una petición, deja datos a medio construir que luego trata como si fueran válidos.
- CVE-2026-109619: PHP conserva información de una petición después de liberar la memoria que la contenía, y una petición posterior puede aprovecharla.
En términos simples: un atacante, sin usuario ni contraseña, puede enviar peticiones especialmente preparadas a tu servidor y terminar ejecutando su propio código en él. Eso abre la puerta a instalar puertas traseras (las famosas webshells, de ahí el nombre), robar datos de clientes o usar tu sitio para enviar spam o distribuir malware.
¿Por qué es tan delicada?
- Ocurre antes de que cargue tu sitio. La falla está en la forma en que PHP recibe las peticiones, antes de que WordPress o tus plugins hagan cualquier cosa. Por eso no importa qué tan actualizados estén tus plugins o qué tan fuerte sea tu contraseña.
- Afecta a casi todas las versiones de PHP. Desde PHP 5.4 hasta PHP 8.5.
- Se filtró antes de tiempo. Los detalles se publicaron en redes sociales el 20 de octubre de 2026, dos días antes de la fecha prevista para el anuncio coordinado, cuando todavía no existía el parche.
- No hay un «truco» de configuración que la resuelva. Los propios desarrolladores de PHP indicaron que ningún ajuste de configuración la mitiga por completo: la única solución segura es actualizar.
Sobre si ya se está explotando, las fuentes no coinciden: la firma de seguridad watchTowr reporta ataques reales detectados desde el 21 de octubre, mientras que otras fuentes aún no lo confirman. Con una falla de este nivel, lo prudente es actuar como si ya estuviera siendo explotada.
¿Es lo mismo que wp2shell?
No, y es una confusión muy común por el parecido de los nombres:
| wp2shell | PHP2Shell | |
|---|---|---|
| Dónde está la falla | En WordPress | En PHP |
| A quién afecta | Sitios WordPress 6.9.0–6.9.4 y 7.0.0–7.0.1 | Cualquier sitio hecho en PHP, use WordPress o no |
| Cómo se corrige | Actualizando WordPress | Actualizando PHP en el servidor |
| Quién lo corrige | El administrador del sitio | El administrador del servidor o el proveedor de hosting |
Ese último punto es clave: en PHP2Shell, actualizar WordPress no sirve de nada. La corrección depende de quien administra el servidor.
¿Qué versiones están corregidas?
El 21 de octubre de 2026 PHP publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Para versiones más antiguas (7.4, 8.0 y 8.1) no hay versión oficial nueva, pero los proveedores de servidores publicaron sus propios parches.
Un detalle importante: muchos proveedores de hosting aplicaron el parche sin cambiar el número de versión. Por ejemplo, un servidor puede seguir mostrando «PHP 8.3.35» y aun así estar protegido. La forma correcta de verificarlo es revisar la fecha de compilación de PHP, que debe ser del 21 de octubre de 2026 o posterior.
¿Qué debes hacer si tienes un sitio web?
- Pregunta a tu proveedor de hosting si ya aplicó el parche de PHP2Shell (CVE-2026-109618 y CVE-2026-109619) en el servidor donde está tu sitio, y si reinició PHP después de actualizar.
- Si tienes un servidor propio o un VPS, instala todas las actualizaciones de tu sistema o panel de control y reinicia PHP.
- Planifica dejar las versiones viejas de PHP. Las versiones sin soporte no reciben correcciones oficiales. Los proveedores ya recomiendan migrar a PHP 8.4 o superior, siempre probando antes que tu sitio sea compatible.
- Revisa señales de intrusión si tu servidor estuvo expuesto: archivos PHP nuevos que nadie subió, usuarios administradores desconocidos, cambios en tu sitio que no hiciste o un consumo anormal de recursos.
¿Qué hicimos en GoWeb360?
Desde que se conoció la vulnerabilidad revisamos todos los servidores donde alojamos y administramos sitios de nuestros clientes:
- Confirmamos que cada servidor tenga instalada una versión de PHP corregida, verificando no solo el número de versión sino también la fecha de compilación.
- Verificamos que PHP se haya reiniciado después del parche, para que todos los procesos usen la versión corregida.
- Mantenemos desactivada la función de PHP que aprovechan varias de las técnicas de ataque conocidas.
- Revisamos los sitios en busca de archivos sospechosos, usuarios no autorizados y errores asociados al ataque. Nuestros escaneos de seguridad diarios no encontraron indicios de intrusión.
La seguridad de un sitio web no termina el día que se publica. Fallas como wp2shell y PHP2Shell muestran que las amenazas pueden venir del núcleo del sitio o incluso del lenguaje con el que está construido, y que la diferencia la hace tener a alguien atento para reaccionar a tiempo.
¿Tienes dudas sobre si tu sitio está protegido? Contáctanos y lo revisamos contigo.
