PHP2Shell: la vulnerabilidad crítica de PHP que puso en alerta a la web

Qué pasó, a quién afecta y cómo la estamos manejando en Adratech

📅 21 de Octubre, 2026 ⏱️ 6 min lectura ✍️ Equipo Adratech

El 21 de octubre de 2026 el equipo de seguridad de PHP publicó una actualización de emergencia para corregir dos fallas críticas, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). PHP es el lenguaje con el que funcionan WordPress, Laravel y una gran parte de los sitios y sistemas web del mundo, así que el alcance es enorme. En este artículo te explicamos qué se sabe, qué versiones corrigen el problema y cómo lo estamos manejando con los sistemas de nuestros clientes.

¿Qué es PHP2Shell?

Son dos vulnerabilidades en el núcleo de PHP calificadas por el propio equipo de PHP con 9.2 de 10 en gravedad (CVSS v4). Según los primeros reportes, podrían permitir que un atacante ejecute código en el servidor sin necesidad de usuario ni contraseña, es decir, que tome el control del sitio y de la información que guarda.

Lo que hizo este caso especialmente delicado es que los detalles técnicos se filtraron antes de que existiera la corrección. PHP adelantó el aviso y publicó la actualización el mismo día anunciado, pero durante varias horas los administradores de sitios de todo el mundo tuvieron que protegerse sin tener todavía el parche.

¿A quién afecta?

A cualquier sitio o sistema web hecho en PHP que esté expuesto a internet, sin importar si tiene login o no. Según lo que se conoce, el problema ocurre cuando PHP procesa ciertos envíos antes de que la aplicación revise si el usuario inició sesión, por lo que una contraseña segura no basta para protegerse.

✓ Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026.
✓ Versiones sin corrección: PHP 8.1 y anteriores ya no reciben soporte, así que no tendrán parche. Si tu sistema usa una de ellas, la única salida es migrar a una versión vigente.
✓ Hosting compartido: si tu web está en un hosting compartido o en cPanel, la actualización depende de tu proveedor. Conviene preguntarle directamente si ya aplicó PHP corregido.

Cómo lo estamos manejando en Adratech

Administramos decenas de sitios y sistemas web de nuestros clientes, así que activamos un protocolo por etapas para cubrirlos desde el primer aviso, sin esperar a que saliera el parche:

1. Inventario completo

Revisamos todos los servidores y sistemas a nuestro cargo para saber cuáles usan PHP, en qué versión y cómo están expuestos a internet. Sin un inventario claro, es imposible saber qué proteger primero.

2. Protecciones preventivas antes del parche

Mientras PHP preparaba la corrección, aplicamos dos capas de protección: desactivamos la función de PHP que los reportes señalaban como vía de ataque y, a nivel del servidor web, pausamos temporalmente la subida de archivos, que es el tipo de envío que usa el ataque. Las páginas, el login y los formularios siguieron funcionando con normalidad, y solo se mantuvo la subida de archivos en los sistemas donde es crítica para la operación, limitada a las conexiones conocidas de cada cliente.

3. Monitoreo de intentos de ataque

Revisamos los registros de los servidores durante todo el día. Detectamos escáneres automáticos que probaban este tipo de envíos contra los sitios que administramos, y fueron bloqueados por las protecciones antes de llegar a PHP.

4. Actualización controlada, sistema por sistema

Instalamos la versión corregida de PHP uno por uno, verificando antes de cada cambio que la nueva versión sea la correcta y después que el sitio siga respondiendo igual. Si algo falla, el proceso se detiene antes de afectar al siguiente.

5. Comunicación con cada cliente

Avisamos a nuestros clientes qué estaba pasando, qué podía notar ese día (la pausa en la subida de archivos) y cómo pedir una excepción si necesitaban cargar algo con urgencia. Al terminar, retiramos las medidas temporales y confirmamos el cierre.

Qué hacer si tu sitio usa PHP

Si administras tu propio sitio o no tienes claro quién lo hace, estos son los pasos recomendados:

✓ Averigua tu versión de PHP. Tu proveedor de hosting o tu desarrollador te la pueden decir en minutos.
✓ Actualiza cuanto antes a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama que uses. Es la única solución definitiva.
✓ No confíes solo en cambios de configuración. Ayudan como medida temporal, pero los propios responsables de PHP advirtieron que no reemplazan al parche.
✓ Si usas PHP 8.1 o anterior, planifica la migración: esas versiones quedaron sin corrección y seguirán siendo vulnerables.
✓ Revisa los registros de tu servidor en busca de envíos extraños desde el 20 de octubre, y si notas algo raro, pide una revisión.

La lección de fondo

Las vulnerabilidades críticas van a seguir apareciendo. Lo que marca la diferencia no es evitarlas, sino tener la capacidad de reaccionar en horas: saber qué sistemas tienes, poder protegerlos mientras llega la corrección y actualizar sin dejar fuera de servicio a nadie.

Si no tienes claro quién mantiene tu sitio o sistema web, o si tu versión de PHP ya quedó sin soporte, escríbenos y lo revisamos contigo.