PHP2Shell: dos fallos críticos en PHP permiten tomar servidores sin contraseña y ya se están explotando
El 21 de octubre de 2026 el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619, CVSS 9.2) que permiten ejecutar código de forma remota sin autenticación. Afectan a todas las versiones desde PHP 5.4 hasta la 8.5.11, y Amazon detectó intentos de explotación desde el 17 de octubre.
Qué ha pasado
Wiz Research descubrió los fallos, bautizados como PHP2Shell, en el propio motor de PHP, con independencia de la aplicación que corra encima. Según Wiz, permiten a un atacante tomar el control del servidor o leer memoria del proceso, que puede contener contraseñas, tokens, claves de API y certificados. PHP es el lenguaje de WordPress, Joomla, Drupal y MediaWiki.
- CVE-2026-109618: la gestión de falta de memoria puede interrumpir PHP con datos internos a medio inicializar, y la limpieza de la petición los trata como válidos.
- CVE-2026-109619: un estado interno de la petición puede sobrevivir tras liberarse su memoria, y una petición posterior en el mismo proceso puede usarlo.
Versiones afectadas y corregidas
| Rama | Versión corregida | Fuente |
|---|---|---|
| PHP 8.5 | 8.5.12 | php.net |
| PHP 8.4 | 8.4.27 | php.net |
| PHP 8.3 | 8.3.36 | php.net |
| PHP 8.2 | 8.2.35 | php.net |
| PHP 8.1 y anteriores | Sin actualización oficial (solo parches mínimos de código para 7.4, 8.0 y 8.1) | php.net |
Quién está en riesgo
Según php.net, todas las instalaciones de PHP que sirven peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php, donde hay un exploit demostrado que actúa antes de que se ejecute el código de la aplicación. Eso incluye webs con WordPress y cualquier hosting que no haya actualizado PHP.
¿Se está explotando?
Amazon Threat Intelligence vio un intento contra sus señuelos el 17 de octubre, cuatro días antes de la publicación, y afirma que PHP2Shell "se está explotando de forma amplia". Sophos rectificó el 22 de octubre: lo que había descrito como explotación con éxito en clientes fueron unos pocos intentos fallidos. No está claro cuántos ataques han tenido éxito.
Qué hacer ahora
- Actualiza PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Es la única solución completa, según php.net y Amazon.
- Si usas hosting compartido o WordPress gestionado, pregunta a tu proveedor si ya ha actualizado PHP. Las distribuciones Linux recibieron los parches por adelantado.
- Si estás en PHP 8.1 o anterior, sube a una versión soportada o pide a tu proveedor un parche retroportado.
- Si no puedes actualizar ya, php.net propone medidas que reducen la exposición pero no protegen del todo: desactivar
session.upload_progress.enabledy reiniciar los procesos, bajarpost_max_sizey, en PHP 8.5, ponerfatal_error_backtraces=0. - Revisa los registros desde el 17 de octubre, como recomienda Amazon: subidas multipart, PHP_SESSION_UPLOAD_PROGRESS, cookies PHPSESSID raras, caídas de procesos PHP y archivos o procesos inesperados.
Cronología
| Fecha | Hecho | Fuente |
|---|---|---|
| 17 oct 2026 | Primer intento de explotación detectado en los señuelos de Amazon | AWS Security Blog |
| 20 oct 2026 | PHP anuncia una actualización crítica para el día siguiente a las 14:00 UTC | php.net |
| 21 oct 2026 | Salen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 y se publican los CVE | php.net, Google Cloud |
| 21 oct 2026 | Wiz publica la investigación PHP2Shell; aparecen exploits de prueba en horas | Wiz, AWS |
| 22 oct 2026 | Sophos corrige: solo observó intentos fallidos en clientes | Sophos |
Preguntas frecuentes
¿Qué es PHP2Shell?
Es el nombre que Wiz Research dio a dos vulnerabilidades críticas en el motor de PHP, CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS de 9.2.
¿Qué versiones de PHP están afectadas?
Todas desde PHP 5.4 hasta la 8.5.11, según Google Cloud y Wiz.
¿A qué versión debo actualizar?
A PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, publicadas el 21 de octubre de 2026 por php.net.
¿Afecta a WordPress?
Sí puede afectar: el fallo está en PHP, no en la aplicación, y WordPress funciona sobre PHP. La solución es que el servidor use una versión de PHP corregida.
¿Se está explotando ya?
Amazon dice que se explota de forma amplia y que vio intentos desde el 17 de octubre. Sophos solo ha confirmado intentos fallidos.
¿Hay alguna solución sin actualizar?
No completa. php.net indica medidas que reducen la exposición, pero solo actualizar soluciona el problema.
Fuentes
- Security advisory: Critical remote code execution vulnerabilities, update now — php.net, 2026-10-21
- PHP2Shell: AI uncovers critical RCE vulnerabilities — wiz.io, 2026-10-21
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure — aws.amazon.com, 2026-10-21
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — cloud.google.com, 2026-10-21
- Proof-of-concept exploit released for PHP vulnerabilities — sophos.com, 2026-10-22
- PHP vulnerabilities: Who's exposed — apnews.com