PHP2Shell es una vulnerabilidad crítica para tu web: cómo comprobar que tu sitio es seguro

Si tienes un sitio web, es muy probable que funcione con PHP.

Este lenguaje de programación está detrás de una enorme parte de la web, incluyendo WordPress, Wikipedia, webs de la administración pública y gubernamentales, y muchas tiendas online.

Esta semana se han encontrado en él dos fallos críticos , por lo que vale la pena comprobar que tu sitio no es vulnerable y ya se han aplicado todas las correcciones pertinentes.

Un escándalo en ciberseguridad El proyecto PHP lanzó un parche de seguridad de emergencia el miércoles 21 de octubre.

Corrige dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619 , ambas catalogadas como críticas y ambas permitiendo la ejecución remota de código.

De esta manera, un atacante que aproveche esta vulnerabilidad podría ejecutar sus propios comandos en un servidor que utilice PHP y tener el control y/o acceder a información sensible.

Los fallos han sido bautizados como " PHP2Shell ".

Desde la empresa de ciberseguridad Qualys cuentan que las vulnerabilidades se pueden explotar sin iniciar sesión, de ahí la urgencia de todo.

Cloudflare ha informado además de ataques que ya han aprovechado esta vulnerabilidad horas antes de que se publicara el parche, y que investigadores habían confirmado la ejecución remota de código contra Magento 2.4.9 (una plataforma de comercio electrónico de código abierto) y otras diez aplicaciones PHP.

Ahora que los detalles son públicos, conviene estar alerta, ya que se espera que se siga explotando esta vulnerabilidad.

Conoce qué versión de PHP necesitas Las versiones corregidas aparecen enumeradas por rama de PHP.

Desde Qualys las enumeran como 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Básicamente tu PHP está parcheado si se encuentra en o por encima del número correspondiente a su rama.

Las versiones más antiguas son un problema mayor.