PHP2Shell: vulnerabilidades críticas en PHP y qué hacer ya

Actualizado a 22 de octubre de 2026 · GAITS Solutions

Qué ha pasado

PHP ha corregido dos fallos graves en partes que se usan en casi cada petición: la gestión de memoria y el tratamiento de errores.

• CVE-2026-109618: si una petición alcanza el límite de memoria de PHP en el momento exacto, pueden quedar datos internos a medio inicializar que corrompen la memoria. En Apache con mod_php se puede provocar sin autenticación, incluso antes de que se ejecute el código de la aplicación.
• CVE-2026-109619: un error fatal en el momento justo puede dejar referencias a memoria de una petición anterior, que otra petición puede reutilizar.

Ambos tienen una puntuación de 9,2 sobre 10 (CVSS 4.0) y pueden permitir la ejecución remota de código: es decir, que un atacante tome el control del servidor.

Versiones corregidas

Las versiones que corrigen los dos fallos son:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Las ramas sin soporte (8.1 y anteriores) no reciben versiones oficiales. Si tu servidor usa una de ellas, la recomendación es migrar a una versión con soporte cuanto antes.

¿Me afecta?

Si tu web, tu tienda online (WordPress, WooCommerce, PrestaShop…), tu ERP o tu aplicación funcionan con PHP en una versión anterior a las corregidas, sí. El riesgo es mayor en servidores con Apache y mod_php, pero también se ha confirmado la ejecución de código en PHP-FPM a través del código de algunas aplicaciones. Varias empresas de seguridad han informado de intentos de explotación, así que conviene actuar ya.

Qué hacer hoy

1. Comprueba tu versión de PHP: en el panel de tu hosting, en la herramienta de salud del sitio de WordPress o con php -v en el servidor.
2. Actualiza a la versión corregida de tu rama (o a una rama con soporte) y reinicia el servicio web o PHP-FPM.
3. Si tu web está en un hosting compartido, pregunta a tu proveedor si ya ha aplicado la actualización y en qué fecha.
4. Revisa los registros de los últimos días en busca de errores de memoria o caídas de procesos inusuales.
5. Asegura tus copias de seguridad antes y después de actualizar. Te explicamos cómo en copias de seguridad 3-2-1.

Desactivar la opción session.upload_progress.enabled reduce parte del riesgo de uno de los fallos, pero no sustituye a la actualización: es la única solución completa.

Una lección para todas las empresas

Un servidor actualizado no se mantiene solo. Las vulnerabilidades críticas aparecen sin avisar y hay que aplicar los parches en horas, no en semanas. Por eso el mantenimiento informático preventivo y la vigilancia de los servidores son la base de la ciberseguridad de cualquier empresa. Si tu web usa una versión antigua de PHP, lee también el fin del soporte de PHP 8.2.