PHP2Shell: parche de emergencia para una RCE crítica de PHP

• Seguridad
• PHP
• WordPress

El 21 de octubre, PHP publicó parches de emergencia para dos vulnerabilidades críticas de ejecución remota de código sin autenticación, con CVSS 9,2. Se las conoce como PHP2Shell: CVE-2026-109618 (corrupción por agotamiento de memoria) y CVE-2026-109619 (un use-after-free). Amazon ya había detectado explotación real antes de la divulgación, y Sansec ha reproducido el ataque contra WordPress, Drupal, Joomla, Magento, Laravel, Symfony, phpMyAdmin y Nextcloud.

El detalle que más nos importa si tienes una web: es un fallo del lenguaje PHP, no de cada aplicación. Actualizar WordPress o los plugins no basta. Hay que actualizar el PHP del servidor — a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o el fix backporteado por tu distribución o cPanel — y reiniciar php-fpm, Apache o LiteSpeed, porque el parche solo surte efecto cuando se reinician los workers.

Si tienes hosting gestionado, pide confirmación al proveedor. Si tu web salió del Kit Digital con un agente digitalizador, escríbele y que te confirme que el servidor está parcheado y reiniciado.

Hemos preparado una página de alerta permanente sobre PHP2Shell con los pasos concretos, cómo comprobar la versión de PHP de tu web (sin escanear nunca webs ajenas) y las fuentes oficiales. Si necesitas ayuda para actualizarla, háblanos.

Actualización (23 de octubre): PHP ha reconocido oficialmente un tercer CVE, el 2026-115560: otra RCE, ligada a session.upload_progress cuando la aplicación cambia el serializador de sesión. No es un bypass de los parches del 21: es un vector nuevo y estrecho, con arreglo pendiente para la próxima release. Mitigación inmediata: session.upload_progress.enabled = 0 en el php.ini del servidor (no vale un ini_set() en la app) y reiniciar los workers. Todos los detalles, en la página de alerta.

Fuente: https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php