✨︎ Resumen (TL;DR):
- PHP publicó el 21 de octubre de 2026 actualizaciones de seguridad para corregir las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
- Los dos fallos, conocidos como PHP2Shell, tienen una gravedad de 9.2 sobre 10 en CVSS v4.0 y pueden permitir ejecutar código sin autenticación en servidores afectados.
- Los sitios WordPress deben actualizar PHP en el servidor. WordPress no requiere una actualización del CMS para resolver estos problemas.
El proyecto PHP publicó el 21 de octubre de 2026 actualizaciones para corregir las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Los fallos pueden permitir ejecutar código sin autenticación en instalaciones que atienden solicitudes web, por lo que PHP pide actualizar de inmediato. Los sitios WordPress también deben revisar el PHP del servidor, pero no necesitan una actualización del CMS para resolver estos problemas.
PHP2Shell es un conjunto de dos vulnerabilidades de PHP que puede permitir la ejecución de código sin autenticación en servidores afectados.
WordPress no necesita un parche del CMS
El proyecto de WordPress aclaró que la solución corresponde a PHP, el software que ejecuta la aplicación en el servidor. Para estos problemas, WordPress no requiere ni tiene prevista una actualización propia.
La corrección queda en manos de quien administra el servidor o del proveedor de hosting. Esto también aplica a los sitios que usan WordPress, aunque el CMS siga funcionando con normalidad.
Estas son las versiones de PHP corregidas
El equipo de PHP publicó una versión de seguridad para cada una de estas ramas:
- PHP 8.5: versión corregida 8.5.12.
- PHP 8.4: versión corregida 8.4.27.
- PHP 8.3: versión corregida 8.3.36.
- PHP 8.2: versión corregida 8.2.35.
Las versiones anteriores dentro de cada rama deben recibir la corrección. Las distribuciones de Linux y los proveedores de soporte prolongado recibieron los parches con antelación, así que PHP recomienda consultar sus paquetes actualizados. En algunos casos, el proveedor puede incorporar el arreglo a una versión que conserva su numeración anterior.
PHP 8.1 y las ramas más antiguas están fuera del soporte ordinario del proyecto. Debido a la gravedad de los fallos, sus responsables también facilitaron cambios mínimos para PHP 7.4, 8.0 y 8.1, dirigidos a quienes compilan desde el código fuente o no cuentan con un proveedor de soporte prolongado.
Apache con mod_php concentra el mayor riesgo
CERT-EU, el servicio de ciberseguridad para las instituciones de la Unión Europea, recoge una puntuación de gravedad de 9.2 sobre 10 en CVSS v4.0 para ambas vulnerabilidades. Las dos afectan el manejo de memoria, aunque mediante mecanismos distintos.
- CVE-2026-109618: el agotamiento de memoria puede interrumpir una solicitud cuando sus datos internos todavía están incompletos. Al terminar esa solicitud, PHP puede tratar esos datos inválidos como válidos.
- CVE-2026-109619: un proceso puede reutilizar, en una solicitud posterior, referencias a memoria que ya fue liberada.
El alcance incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera mayor el riesgo con mod_php porque existe una explotación demostrada que puede activarse mediante una solicitud sin autenticación, antes de que se ejecute el código de la aplicación.
La prioridad asignada a mod_php no excluye a las demás configuraciones. CERT-EU recomienda actualizar todas las instalaciones afectadas y revisar también los productos que incorporan PHP como componente.
CISA recomienda desconectar sistemas sin parche
CISA, la agencia de ciberseguridad de Estados Unidos, pide identificar los sistemas que usan PHP y dar prioridad a los que están expuestos a internet. Si una organización no puede actualizar de inmediato, la agencia recomienda retirar los sistemas basados en PHP de la red hasta aplicar el parche o actualizar.
Un firewall de aplicaciones web, o WAF, puede aportar cierta protección durante ese intervalo. PHP también publicó medidas temporales para reducir la exposición a vías concretas de ataque, pero advirtió que solo la actualización resuelve por completo estas vulnerabilidades.
Los reportes sobre ataques tienen atribuciones distintas. CISA indicó que no había observado explotación al publicar su alerta del 21 de octubre. Ese mismo día, watchTowr afirmó haberla detectado mediante su red de servidores señuelo. Son observaciones de cada organización, no un recuento común de sitios comprometidos.
En WordPress, el propietario de un sitio puede consultar la versión de PHP en la información del servidor dentro de Salud del sitio. Muchos servicios de hosting también muestran ese dato en su panel. Con la versión identificada, el responsable del sitio puede pedir al proveedor que confirme la aplicación de la corrección correspondiente.
