PHP2Shell: si tu web funciona con PHP, mira hoy qué versión tiene

No hace falta usuario ni contraseña para aprovecharlo, ya hay ataques y el parche no se instala solo. Las versiones corregidas empiezan en la 8.2.35.

El 21 de octubre, el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para cerrar dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que se conocen juntos como PHP2Shell. Los dos permiten ejecutar código en el servidor con una petición web cualquiera, sin usuario ni contraseña, y PHP es el lenguaje sobre el que funcionan WordPress, PrestaShop, Joomla y buena parte de las webs de comercios y pequeñas empresas. El aviso del propio proyecto no deja margen: no hay ninguna mitigación completa y actualizar es la única opción segura. El INCIBE, en el suyo, va un paso más allá: un servidor expuesto a internet que no se pueda actualizar debe aislarse de la red pública hasta que se corrija.

Ya se está atacando. Amazon detectó los primeros intentos en su red de señuelos el 17 de octubre, cuatro días antes del aviso, porque los detalles se filtraron antes de tiempo. En Reino Unido, el Gobierno reconoció ante la Cámara de los Lores que 32 servicios públicos estaban caídos y otros cuatro a medias, la mayoría apagados por precaución mientras se aplicaban los parches. Y la empresa de seguridad VulnCheck asegura tener un ataque que funciona en servidores x86-64 con ASLR activado (la protección que desordena la memoria para que el atacante no sepa a dónde apuntar) y con la configuración de producción que recomienda PHP. Solo lo ha compartido con sus clientes, pero desmonta la idea de que un servidor bien configurado aguanta sin parchear.

Qué versión lleva tu web

Si tu web está en un alojamiento compartido, el PHP no lo instalas tú: lo pone el proveedor, y depende de él que esté al día. Lo que sí puedes hacer es mirarlo. En WordPress aparece en Herramientas, Salud del sitio, pestaña Información, dentro del apartado Servidor. En los paneles de alojamiento suele estar en el selector de versión de PHP. Si en vez de alojamiento compartido tienes un servidor propio, el INCIBE señala como el caso de más riesgo el de Apache con mod_php.

Con un 8.5.12, 8.4.27, 8.3.36, 8.2.35 o posterior, está corregido. Uno más bajo no significa por fuerza que estés expuesto, porque muchas distribuciones de Linux meten el parche sin cambiar la versión, y en ese caso solo te lo puede confirmar el proveedor. Pregúntaselo por escrito, con el nombre del fallo. Las distribuciones y los proveedores de soporte extendido recibieron los parches antes del aviso, así que un alojamiento que se tome esto en serio debería tenerlo hecho o estar acabando.

Si tu web sigue en PHP 8.1 o anterior

Ahí el problema es más gordo. La 8.1 y las anteriores ya no tienen soporte del proyecto PHP, así que no hay versión nueva que instalar. Ha dejado unos parches mínimos en código fuente para la 7.4, la 8.0 y la 8.1, pensados para quien compila PHP por su cuenta, y lo demás depende de que tu proveedor tenga soporte extendido. En webs montadas hace años y que nadie ha vuelto a tocar es fácil encontrarse un PHP 7.4, porque algún plugin viejo no funcionaba con las versiones nuevas y se dejó estar. Toca subirlo, y antes de hacerlo conviene una copia completa de la web y revisar qué plugins siguen teniendo mantenimiento.

La 8.2 también tiene fecha: deja de recibir parches el 31 de diciembre de 2026. Puestos a mover la web de versión, merece la pena saltar directamente a una más reciente.

Si no sabes quién lleva tu web, empieza por ahí. La factura del dominio o del alojamiento dice con qué empresa está contratado, y si te la montó alguien, es a esa persona o a esa empresa a quien hay que preguntar. Lo que no conviene es dar por hecho que, como la web funciona, alguien ya se ha encargado.