Dos vulnerabilidades críticas y, por el momento, sin parchear, afectan a PHP y ponen en peligro los sitios web. Este problema se conoce como PHP2Shell. El equipo de seguridad de PHP ha asignado, con fecha de 20 de octubre, a ambos fallos una puntuación de 9.2 sobre 10 en la escala CVSS 4.0, lo que nos muestra la magnitud. No ha ofrecido detalles técnicos, algo habitual hasta que la mayoría haya corregido el problema.
Fallos importantes en PHP
Hay que mencionar que PHP es un lenguaje de programación muy utilizado en aplicaciones web, para procesar formularios, gestionar sesiones o consultar bases de datos. Al ser algo tan utilizado, fallos de este tipo pueden tener una gran repercusión. No se trata de una vulnerabilidad que afecte a un único plugin o sitio web específico.
En caso de que un atacante explotara estos fallos, podría llegar a ejecutar código de forma remota en un servidor. Tendría la capacidad de acceder a información disponible para la cuenta del servicio, modificar archivos o crear una puerta trasera, robar credenciales y llegar a usar ese servidor comprometido para intentar atacar a otros sistemas.
Estos fallos, según circula por diferentes medios, han sido registrados como CVE-2026-109618 y CVE-2026-109619, aunque no hay información oficial por parte de PHP al respecto. La filtración tuvo lugar con fecha de 20 de octubre y, posteriormente, apareció la publicación oficial de PHP al respecto.
Puedes ver la publicación de PHP en la siguiente captura de pantalla que te dejamos:
Tampoco hay información oficial, por el momento, sobre qué versiones exactamente están afectadas y cuáles recibirán actualizaciones. Sin embargo, podrían estar afectadas todas las versiones desde PHP 5. Los parches llegarían a las ramas con soporte, que es de PHP 8.2 en adelante.
Actualizaciones inmediatas
Al tiempo de escribir este artículo no hay parches disponibles, pero desde PHP informan de que saldrán hoy 21 de octubre a las 14:00h UTC, esto es, a las 16:00 hora de España peninsular. A partir de ese momento, las vulnerabilidades denominadas por los investigadores de seguridad como PHP2Shell tendrán parches disponibles.
Desde PHP se remiten a la información que van a dar una vez estén disponibles estos parches. No informan de si estas vulnerabilidades se están explotando actualmente o no. Todo eso, previsiblemente, aparecerá una vez estén disponibles los parches para los usuarios.
Todo esto supone un problema para los administradores, ya que no ha habido una divulgación coordinada, sino que se ha filtrado que existe un problema, cuando aún no hay una solución disponible. Aunque la ventana de tiempo es pequeña, de apenas unas horas, existe riesgo.
Mayor riesgo para las versiones anteriores
Actualmente, las ramas que tienen soporte son la 8.2, 8.3, 8.4 y 8.5. Las versiones anteriores, como las ramas 8.1 y 8.0, además de 7.x o 5.x, están fuera del soporte, por lo que, previsiblemente, no van a recibir actualizaciones para corregir estas dos vulnerabilidades críticas.
Es fundamental siempre contar con las últimas versiones, para poder así acceder a parches que puedan lanzar los desarrolladores y corregir problemas conocidos. Actualmente, según estimaciones de la empresa de seguridad Mallory, habría unos 884.000 servidores expuestos a Internet por utilizar una versión PHP 8.1 o anterior.
Por el momento, una mitigación temporal que puedes hacer es la de desactivar el progreso de subida de ficheros de PHP, bloqueado para que ningún dominio pueda reactivarlo. No se trata de una medida oficial, pero sí algo que están haciendo muchos administradores hasta que haya una solución.
Desde Cloudflare han lanzado un ruleset de emergencia para poder corregir este problema. Puedes ver toda la información en su web.
Por tanto, lo que sabemos hasta ahora es que hay dos vulnerabilidades críticas que afectan a PHP y que no tienen parche hasta dentro de unas horas. Se desconoce el componente exacto de PHP afectado, las versiones concretas que son vulnerables (o si afecta a todas), las condiciones técnicas necesarias para poder explotar los fallos, las versiones que se van a corregir y si realmente hay explotación activa o no.
