¿Qué está pasando?

Se han identificado dos vulnerabilidades críticas de seguridad en PHP, una tecnología utilizada para construir y mantener millones de sitios web y aplicaciones en internet. Estas fallas están identificadas como CVE-2026-109618 y CVE-2026-109619, y se conocen conjuntamente como PHP2Shell.

Su gravedad radica en que podrían permitir que un atacante ejecute instrucciones en un servidor vulnerable de forma remota, sin necesidad de tener una cuenta o contraseña válida. Ambas vulnerabilidades recibieron una calificación de gravedad de 9.2 sobre 10. <escape>Fuente: Palo Alto Networks, Unit 42</escape>

Esto significa que el problema no se limita a una página web que deja de funcionar. Si un atacante consigue aprovechar estas fallas, podría llegar a comprometer el servidor donde se encuentra alojada la página y, dependiendo de los permisos disponibles, acceder a información o afectar otros servicios.

¿Qué es PHP y por qué debería importarnos?

PHP es un lenguaje de programación que funciona principalmente en los servidores. Es el encargado de procesar muchas de las operaciones que ocurren cuando visitamos una página web, iniciamos sesión, completamos un formulario o realizamos una compra.

Se utiliza en plataformas conocidas como WordPress y en numerosos sistemas empresariales, tiendas en línea y aplicaciones web.

Para entenderlo fácilmente, imaginemos que un sitio web es una oficina:

El sitio web es la recepción que ve el visitante.

PHP es parte del personal que procesa las solicitudes y ejecuta las tareas.

El servidor es la infraestructura donde se encuentran los sistemas y documentos de trabajo.

Si PHP tiene una falla de seguridad, un atacante podría aprovecharla para intentar ejecutar acciones que nunca deberían estar permitidas.

¿Cómo puede afectar una vulnerabilidad de este tipo?

Las dos vulnerabilidades están relacionadas con errores internos en la forma en que PHP administra la memoria durante determinadas operaciones. Sin entrar en detalles técnicos, el problema consiste en que el sistema puede manejar incorrectamente cierta información temporal y, en determinadas circunstancias, permitir que un atacante tome el control de la ejecución de instrucciones.

Entre las consecuencias posibles se encuentran:

1. Acceso no autorizado al servidor. Un atacante podría ejecutar instrucciones sin tener que iniciar sesión en el sitio web, si consigue explotar la vulnerabilidad en las condiciones adecuadas.

2. Robo de información. Según los permisos del proceso afectado y la configuración del servidor, podría intentar acceder a archivos, datos de aplicaciones o información sensible.

3. Instalación de programas maliciosos. El atacante podría intentar instalar herramientas para mantener el acceso, ejecutar otras acciones dañinas o utilizar el servidor para actividades ilícitas.

4. Alteración o interrupción del sitio web. Podría modificar archivos, afectar el funcionamiento de una aplicación o interrumpir servicios.

5. Riesgo para los clientes y la empresa. Si el servidor contiene información empresarial, datos de clientes o conexiones con otros sistemas, un incidente podría tener consecuencias operativas, económicas y reputacionales.

Estas son consecuencias potenciales de una explotación exitosa; no significa que todos los sitios vulnerables vayan a sufrir necesariamente cada uno de estos daños.

¿Tengo que preocuparme si mi sitio utiliza WordPress?

Sí, es importante comprobarlo, pero no hay motivo para asumir automáticamente que tu sitio ha sido atacado.

WordPress utiliza PHP, por lo que un sitio basado en esta plataforma puede estar expuesto si su servidor ejecuta una versión vulnerable del lenguaje. Lo mismo puede ocurrir con otras aplicaciones que dependan de PHP.

Un detalle importante: actualizar WordPress o sus complementos no necesariamente corrige una vulnerabilidad del propio PHP. Aunque la aplicación esté actualizada, el servidor puede continuar utilizando una versión vulnerable del lenguaje de programación.

Por eso, la revisión debe incluir tanto la aplicación como el entorno en el que está alojada.

¿Qué debo hacer para proteger mi sitio web?

La recomendación es actuar con rapidez y seguir estos pasos:

1. Identificar la versión de PHP. Comprueba qué versión utiliza cada sitio web y servidor. No basta con revisar una sola página si la empresa administra varias aplicaciones.

2. Instalar la actualización de seguridad correspondiente. El equipo oficial de PHP publicó correcciones para las versiones mantenidas. Al momento de esta publicación, las versiones corregidas indicadas en los avisos de seguridad son:

PHP 8.2.35 o posterior.

PHP 8.3.36 o posterior.

PHP 8.4.27 o posterior.

PHP 8.5.12 o posterior.

Las versiones anteriores de cada rama indicada son vulnerables según el aviso consultado. PHP 8.1 y versiones más antiguas ya no reciben soporte oficial ordinario; es necesario migrar a una versión mantenida o verificar con un proveedor de confianza si existe una corrección específica para esa versión. Antes de actualizar, confirma la disponibilidad del paquete adecuado para tu sistema operativo y entorno de alojamiento.

3. Revisar todos los servicios que utilizan PHP. Esto incluye sitios corporativos, tiendas en línea, portales de clientes, sistemas internos y aplicaciones alojadas en servidores propios o en la nube.

4. Verificar si existen indicios de intrusión. Si el servidor estaba expuesto y ejecutaba una versión vulnerable, conviene revisar registros, archivos modificados, procesos desconocidos y actividad inusual. Instalar la actualización no demuestra por sí solo que no haya ocurrido un ataque previamente.

5. Aplicar medidas temporales si no es posible actualizar. Si no puedes instalar la corrección de inmediato, evalúa restringir el acceso o retirar temporalmente de internet el servicio afectado hasta reducir el riesgo. Una medida temporal no sustituye la actualización de seguridad.

¿Basta con tener antivirus o un firewall?

No necesariamente.

Un antivirus o un firewall pueden ayudar a detectar o bloquear determinadas actividades maliciosas, pero no garantizan que una vulnerabilidad del propio PHP esté corregida. La protección más importante es instalar la versión que contiene el parche oficial y comprobar que el servidor realmente esté ejecutando esa versión.

También es recomendable mantener copias de seguridad verificadas, limitar los permisos de los servicios y contar con un procedimiento para responder ante incidentes.

Conclusión: no basta con que una página web funcione

Un sitio web puede funcionar con normalidad y, aun así, tener una vulnerabilidad de seguridad. Por eso, la protección de una página empresarial no consiste únicamente en mantener su diseño, contenido y complementos actualizados: también requiere mantener segura la infraestructura que la hace funcionar.

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 son un recordatorio de que las actualizaciones de seguridad deben tratarse como una prioridad operativa, no como una tarea que puede dejarse para después.

Si administras un sitio web o una aplicación empresarial, verifica hoy mismo la versión de PHP, aplica la corrección correspondiente y comprueba que todos tus servicios estén protegidos. Una revisión preventiva puede evitar que una falla técnica se convierta en un incidente que afecte a tu empresa o a tus clientes.

Fuentes de referencia: Palo Alto Networks – Unit 42 y NHS England Digital – alerta de seguridad PHP2Shell.