PHP2Shell: vulnerabilidad crítica en PHP y qué hemos hecho mientras llega el parche

En pocas palabras

1. Qué: dos fallos en el propio PHP, el lenguaje con el que funcionan WordPress, PrestaShop y la mayoría de webs. Se conocen como PHP2Shell (CVE-2026-109618 y CVE-2026-109619).
2. Gravedad: crítica. PHP les da un 9,2 sobre 10.
3. A quién afecta: según los primeros análisis, a casi cualquier servidor con PHP 5.4 o superior, sea cual sea la web que tenga encima.
4. Si estás alojado con nosotros: la protección ya está puesta en todos los servidores. No tienes que tocar tu web ni tus plugins.

Qué pasa exactamente

El 20 de octubre el equipo de PHP avisó de que publicaría una actualización de seguridad urgente por dos fallos críticos. La versión corregida y los detalles oficiales están previstos para hoy, 21 de octubre, a las 14:00 UTC (las 16:00 en España).

Hasta entonces, lo que se sabe viene de análisis independientes que PHP todavía no ha confirmado. Apuntan a que el fallo permitiría a alguien de fuera ejecutar código en el servidor sin necesidad de usuario ni contraseña, y a que ya circula una herramienta que lo aprovecha. No se conocen ataques reales, pero es habitual que lleguen en masa en cuanto se publican los detalles.

Lo que lo hace delicado es dónde está el fallo: PHP lo sufre al recibir la petición, antes de que llegue a ejecutarse la web. Por eso no lo arregla actualizar WordPress ni ningún plugin. El arreglo tiene que venir del propio PHP o de cómo está configurado el servidor.

Qué se ha hecho en nuestros servidores

Los análisis señalan una función concreta de PHP: la que informa del progreso mientras se sube un archivo. Mientras llega el parche, nuestro proveedor de infraestructura la ha desactivado en todos los servidores y la ha bloqueado para que ninguna web pueda volver a encenderla por su cuenta. Además, vigila los servidores por si aparecen señales de que alguien intenta aprovechar el fallo por otro camino.

Para tu web, el cambio no se nota:

1. Los formularios y las subidas de archivos funcionan exactamente igual.
2. WordPress, PrestaShop y Nextcloud no usan esa función.
3. Lo único que se pierde, en muy pocos casos, es una barra de progreso: la de importar bases de datos en versiones antiguas de phpMyAdmin o la de restaurar copias con el plugin WPvivid. La subida se hace igual; solo no ves el porcentaje.

Es una medida preventiva: cierra el camino que describen los análisis, pero la solución definitiva es instalar la versión de PHP corregida. En cuanto PHP la publique, se instalará en los servidores.

Si tu web usa una versión antigua de PHP

Según los mismos análisis, PHP solo publicará parche para las versiones que todavía mantiene, de la 8.2 a la 8.5. Si tu web funciona con PHP 7 o con PHP 8.0 o 8.1, la protección de ahora la cubre, pero no va a recibir el arreglo oficial. Es un buen momento para planificar el salto a una versión con soporte, y si quieres te ayudamos a comprobar que tu web aguanta el cambio.

Si tu web está en otro hosting

Pregunta a tu proveedor dos cosas:

1. Si ha desactivado session.upload_progress mientras llega el parche, y si está bloqueado para que no se pueda reactivar desde la propia web.
2. Cuándo va a instalar la versión de PHP corregida.

Ojo con una confusión que ya está circulando: las versiones 8.5.11, 8.4.26, 8.3.35 y 8.2.34 aparecen en algunas listas como «corregidas», pero son del 24 de septiembre, anteriores al parche. Tenerlas no te protege.

Lo que aún no se sabe

Falta que PHP confirme la causa de los dos fallos, qué versiones exactas quedan corregidas y si el segundo necesita una medida aparte. Uno de los análisis menciona además un posible segundo camino que esta protección no cerraría. Actualizaremos este aviso en cuanto haya información oficial.