PHP2Shell: dos vulnerabilidades críticas en PHP: actualiza ahora
Publicado 21.10.2026 · Nivel de gravedad : Crítica · Actualizado 27.10.2026
Qué ocurre: el 21 de octubre de 2026, PHP corrigió dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, denominadas «PHP2Shell». Ambas pueden permitir la ejecución remota de código en el servidor sin iniciar sesión. La primera afecta al tratamiento de la falta de memoria y la segunda a datos internos que una solicitud posterior puede utilizar después de que la memoria se haya liberado.
Qué gravedad tiene: crítica.Ya hay ejemplos públicos de código de ataque, y CERT-FR ha observado intentos de ataque (27 de octubre de 2026). Ambas vulnerabilidades figuran en la lista de la CISA de Estados Unidos de vulnerabilidades que se están explotando activamente.
A quién afecta: todos los sitios web que funcionan con PHP —entre ellos WordPress, Joomla, Drupal y muchas tiendas en línea— con PHP 5.x, 7.x, 8.0, 8.1 u 8.2 anterior a 8.2.35, 8.3 anterior a 8.3.36, 8.4 anterior a 8.4.27 y 8.5 anterior a 8.5.12. PHP 5, 7, 8.0 y 8.1 ya no reciben correcciones.
Qué debes hacer: actualiza a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o una versión posterior. Pregunta a tu proveedor qué versión utiliza tu sitio web. Si funciona con una versión que ya no recibe correcciones, debes migrarlo a una versión con mantenimiento. existen medidas temporales, pero, según PHP, no hacen segura una instalación; solo la actualización lo consigue.
Consulte también CVE-2026-115560, una nueva vulnerabilidad en la misma zona que aún no se ha corregido. ¿No estás seguro de tu sitio web? Escríbenos y te diremos qué你应该 hacer.