PHP2Shell: falla crítica en PHP, actualiza tu web hoy

El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas en PHP, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Ambas permiten la ejecución remota de código sin autenticación: un atacante puede ejecutar instrucciones en el servidor de una web sin usuario ni contraseña, solo enviando una petición. Según BleepingComputer, ya se están registrando ataques reales, por lo que actualizar es urgente.

Qué pasó

El equipo de PHP publicó el mismo día actualizaciones de seguridad de emergencia que corrigen ambas fallas, como explica la PHP Foundation. Una ejecución remota de código es uno de los escenarios más graves en seguridad web: quien la aprovecha puede modificar tu sitio, robar datos de clientes, instalar programas maliciosos o usar tu servidor para atacar a otros.

A quién afecta

A cualquier sitio web que funcione con PHP en una versión sin el parche. Eso incluye páginas y tiendas online hechas con WordPress, WooCommerce, Joomla, Drupal y muchos sistemas a medida. Si tu web está en un hosting compartido o en un servidor propio y nadie ha revisado la versión de PHP esta semana, debes asumir que podría estar en riesgo.

Qué hacer hoy

• Actualiza PHP a una versión corregida: 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o a una más nueva de la misma rama.
• Si usas PHP 8.1 o anterior, esas versiones ya no tienen soporte y no recibirán parche: cambia a una rama soportada (8.2 o superior) y verifica que tu web siga funcionando.
• Revisa tu panel de hosting. En cPanel suele estar en Software » MultiPHP Manager. Si no ves una versión corregida, pide a tu proveedor de hosting que la instale.
• Usa un firewall como medida temporal. Un firewall web, como el de Cloudflare, puede bloquear parte de los ataques mientras actualizas, pero no reemplaza la actualización.
• Actualiza también tu CMS y tus plugins, y haz una copia de seguridad antes de cualquier cambio.

Cómo te ayuda Absolut360

En Absolut360 ya estamos revisando y actualizando las webs de nuestros clientes. Si tienes una página o tienda online y no sabes qué versión de PHP usa, podemos revisarla por ti: verificamos la versión, coordinamos la actualización con tu hosting, comprobamos que todo siga funcionando y te recomendamos medidas de protección adicionales.

No esperes a que tu web sea atacada. Escríbenos por WhatsApp al 901 345 791 y revisamos tu sitio.

Fuentes: PHP Foundation y BleepingComputer.