PHP publica parches de urgencia para dos fallos críticos que afectan a webs y tiendas online

Qué ha pasado

El 21 de octubre de 2026, el equipo de seguridad de PHP publicó un aviso titulado «Vulnerabilidades críticas de ejecución remota de código, actualiza ya». PHP es el lenguaje sobre el que funcionan WordPress, Drupal, Joomla o Magento.

Las nuevas versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos fallos, CVE-2026-109618 y CVE-2026-109619, conocidos como «PHP2Shell». Según PHP, ambos «pueden permitir la ejecución remota de código sin autenticación»: un atacante podría ejecutar sus propias órdenes en el servidor web sin necesidad de usuario ni contraseña. El proyecto pide a «todos los usuarios de PHP» que actualicen «de inmediato».

El 20 de octubre, PHP había anunciado los parches para el día siguiente. Según Huntress y The Hacker News, ese mismo día se filtró información sobre los fallos, antes de que hubiera corrección.

Qué sabemos

• Qué está en riesgo (según PHP): todas las instalaciones de PHP que atienden peticiones web, incluidas las configuraciones más habituales en servidores y hostings (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed). PHP considera mayor el riesgo con mod_php.
• Gravedad: PHP puntúa ambos fallos con 9,2 sobre 10 (CVSS v4.0) y los califica de críticos.
• Versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las distribuciones de Linux recibieron los parches por adelantado, así que los proveedores pueden tener ya paquetes actualizados.
• Versiones antiguas: PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. PHP 8.2 deja de tener soporte el 31 de diciembre de 2026.
• Medidas temporales: PHP publica ajustes de configuración que reducen la exposición, pero advierte de que «no hacen segura una instalación»: «actualizar es la única opción segura».

Qué no sabemos todavía

• Si ya hay webs comprometidas. Según The Hacker News, la empresa watchTowr informó el 21 de octubre de «intentos de explotación activos» de ambos fallos, y Cloudflare de «ataques incipientes». Huntress, en cambio, no había observado explotación en los sistemas que vigila a las 16:30 (hora del este de EE. UU.) de ese día. Ninguna fuente ha confirmado una intrusión con éxito, y los fallos no figuraban todavía en el catálogo de vulnerabilidades explotadas de CISA.
• Si hay víctimas en España. No hay ninguna confirmada.

Por qué importa

El fallo no está en un plugin ni en una web concreta, sino en el propio PHP. Eso significa que una web bien hecha y con todos sus plugins al día puede seguir expuesta si el PHP del servidor no se ha actualizado.

Además, la filtración ha recortado el margen habitual entre el parche y los primeros ataques. Cuando los detalles circulan antes de la corrección, el tiempo de reacción se mide en días.

Qué significa para una pyme

En una empresa pequeña, la web casi nunca la gestiona alguien de dentro: suele estar en un hosting compartido o en un servidor que montó una agencia hace años. Es habitual que nadie en la empresa sepa qué versión de PHP tiene.

Una web comprometida no es solo un problema de imagen: puede contener los datos de clientes de la tienda, formularios de contacto o el acceso a una intranet. Y si hay datos personales afectados, puede haber obligación de notificarlo a la AEPD.

Qué debería hacer tu empresa esta semana

1. Haz inventario: web corporativa, tienda online, intranet, área de clientes, programas de gestión con acceso web. Apunta quién mantiene cada una.
2. Pregunta a tu hosting o agencia si usan PHP y si ya está en 8.5.12, 8.4.27, 8.3.36 u 8.2.35 (o en una versión con el parche de su proveedor de Linux). Pide la respuesta por escrito.
3. Si usáis PHP 8.1 o anterior, no hay versión oficial corregida: pide un plan de migración con fecha. Mientras tanto, que apliquen las medidas temporales que publica PHP.
4. Pide que revisen señales de intrusión desde el 20 de octubre, sobre todo si la actualización tarda.
5. Comprueba que hay una copia de seguridad reciente de la web y que se puede restaurar.

Si no tienes claro qué servicios de tu empresa están expuestos a internet ni quién los actualiza, es justo lo que revisa una auditoría de ciberseguridad.