GOUDIGITAL
Si en los últimos días viste algún video o noticia hablando de una vulnerabilidad grave en PHP, no es paranoia de internet: es real, y se llama «PHP2Shell». El 21 de octubre de 2026, el equipo de PHP lanzó un parche de emergencia para corregir dos fallas críticas que dejan prácticamente cualquier servidor expuesto a que un atacante tome control sin necesidad de usuario ni contraseña.
¿Tenés un sitio web, una tienda online o cualquier aplicación hecha en WordPress, Joomla, Drupal, Laravel o Magento? Entonces esto te toca de cerca, y te conviene saber qué está pasando.
Y no, no estamos exagerando con lo de «te toca de cerca». Según datos de W3Techs, el 69,3% de los sitios web del mundo corren sobre PHP. Sumale que WordPress — construido en PHP — mueve más del 40% de todos los sitios de internet (más de 59 millones de instalaciones activas). Hagamos cuentas: estamos hablando de una falla que, en potencia, afecta a la mayoría de la web.
Cronología: cómo se destapó todo
- 20 de octubre de 2026 — El equipo de seguridad de PHP publica un aviso previo (sin detalles técnicos) anunciando que lanzaría un parche crítico de emergencia al día siguiente.
- Esa misma tarde — Los identificadores de las vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) se filtran en redes sociales antes de la divulgación coordinada, junto con especulaciones sobre su naturaleza. Firmas de seguridad como watchTowr confirman que las fallas son reales.
- 21 de octubre de 2026, 14:00 UTC — PHP publica oficialmente las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Horas después del parche — Ya se detectan los primeros intentos de explotación activa contra servidores que todavía no habían actualizado.
¿Qué es técnicamente PHP2Shell?
Vamos a lo técnico, pero sin tecnicismo innecesario. En el fondo son dos fallas (ambas con severidad crítica, 9,2 sobre 10) que, combinadas, abren la puerta a un ataque:
- CVE-2026-109618 — Un problema en el manejo de situaciones de memoria agotada (‘out-of-memory’) puede interrumpir la ejecución de PHP justo cuando los datos internos de una solicitud están solo parcialmente inicializados, dejando el proceso en un estado inconsistente y explotable.
- CVE-2026-109619 — Información interna asociada a una solicitud puede sobrevivir después de que su memoria fue liberada. Una solicitud posterior, atendida por el mismo proceso (‘worker’), puede terminar usando ese estado ‘fantasma’ antes de que se reinicialice correctamente.
Juntando ambas, un atacante puede mandar solicitudes especialmente armadas a un servidor y lograr ejecutar código a control remoto, sin autenticarse — nada de usuario, contraseña ni tener que explotar primero un plugin vulnerable. Directo a la puerta principal.
Afecta a cualquier forma en la que PHP procese solicitudes web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, entre otras.
¿Quiénes están en riesgo?
Acá va la mala noticia: la falla afecta todas las versiones de PHP desde la 5.4 hasta la 8.5.11. O sea, básicamente cualquier servidor que no se haya actualizado el 21 de octubre de 2026 en adelante.
Por eso impacta a cualquier sitio o aplicación construida sobre tecnologías que corren sobre PHP:
- WordPress (y sus plugins/temas)
- Joomla
- Drupal
- Laravel
- Magento
- Cualquier aplicación o framework PHP propio
Un detalle importante: las versiones sin soporte oficial (PHP 8.1 y anteriores) no reciben el parche completo. El proyecto PHP publicó únicamente una mitigación mínima (‘minimal mitigation’) para las ramas 7.4, 8.0 y 8.1, pensada como un parche de emergencia transitorio, no como la corrección definitiva. Los sitios que sigan en esas versiones deberían migrar a PHP 8.2 o superior cuanto antes.
Cómo saber si tu sitio está afectado
Acá viene la parte un poco molesta: el panel de tu hosting (cPanel u otro) suele mostrar solo la rama de PHP que tenés activa (por ejemplo «PHP 8.3»), pero no el número de build exacto — y ahí es donde está la diferencia entre estar protegido o no. Para salir de dudas:
- Creá un archivo llamado
info.phpcon el siguiente contenido:
<?php
phpinfo();
?>
- Subilo a la carpeta pública de tu sitio (normalmente
public_html). - Accedé desde el navegador a
tudominio.com/info.php. - Buscá el número de versión junto al título «PHP Version».
- Importante: borrá el archivo apenas termines de chequear. Dejarlo publicado expone información sensible del servidor (rutas, módulos, variables de entorno) a cualquiera que lo visite.
Si tenés varios dominios o cuentas de hosting, vas a tener que repetir este chequeo en cada uno — o consultarle directamente a tu proveedor de hosting qué build tiene instalado.
Cómo solucionarlo
La solución es simple en concepto, aunque requiere acción inmediata:
| Rama actual | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 o anterior | Sin parche completo — migrar a 8.2+ |
Pasos recomendados:
- Identificá la versión real de PHP en cada sitio (ver sección anterior).
- Actualizá a la build corregida desde el panel de tu hosting (selector de PHP / MultiPHP Manager en cPanel).
- Si tu hosting todavía no tiene disponible la versión parcheada en su repositorio, consultale directamente cuándo la va a publicar.
- Si algún sitio corre sobre PHP 8.1 o una versión anterior, planificá la migración a PHP 8.2 o superior — no alcanza con ‘actualizar’ dentro de esa rama, porque no existe corrección completa para versiones fuera de soporte.
- Después de actualizar, probá que el sitio siga funcionando correctamente (algunos plugins o temas antiguos pueden no ser compatibles con versiones más nuevas de PHP).
Preguntas frecuentes
¿Mi sitio ya está parcheado si lo actualizaron hace poco? No necesariamente. El parche salió el 21 de octubre de 2026, así que lo que importa no es cuándo actualizaste por última vez, sino si tu versión de PHP es igual o posterior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Una actualización de la semana pasada puede no incluirlo.
¿Esto afecta solo a sitios grandes o empresas? No. Afecta a cualquier sitio corriendo PHP sin parchear, sin importar su tamaño o tráfico. De hecho, los sitios chicos suelen ser blanco más fácil porque reciben menos atención y mantenimiento.
Mi hosting me dijo que ya está solucionado, ¿tengo que hacer algo igual? Conviene confirmar dos cosas: que el parche cubra la build exacta (no solo la rama) y que, si algún sitio corría en PHP 8.1 o anterior, haya sido migrado a una versión con soporte — esas ramas no reciben la corrección completa, solo una mitigación mínima.
¿Cómo sé si ya me hackearon? Buscá archivos PHP que no reconozcas (sobre todo en carpetas de uploads o temporales), usuarios administradores que no creaste vos, o redirecciones y pop-ups raros en tu sitio. Ante la duda, es mejor hacer una revisión profesional.
¿Actualizar PHP puede romper mi sitio? Es posible si usás plugins, temas o código muy viejo que no sea compatible con versiones nuevas de PHP. Por eso recomendamos probar el sitio después de actualizar, y hacerlo con respaldo (backup) a mano por las dudas.
Recomendación de GOUDIGITAL
En GOUDIGITAL no nos gusta dar sustos, pero este sí lo merece. Ya estamos revisando y actualizando las versiones de PHP en todas las cuentas de hosting que administramos para nuestros clientes — porque la seguridad de tu sitio no es algo que dejamos para «después».
¿Tenés un sitio y no sabés qué versión de PHP está corriendo? ¿O lo sabés y preferís que alguien más se ocupe de que nunca te agarre desprevenido? Escribinos. Es un chequeo de cinco minutos que te puede ahorrar un dolor de cabeza enorme — sitio hackeado, datos robados, o directamente fuera de línea.
La seguridad no es un gasto, es la base sobre la que funciona tu presencia online.
