vulnerabilidad php
|

PHP2Shell: vulnerabilidad crítica de PHP

PorOpción5

Resumen para quien tiene prisa

El 21 de octubre de 2026 PHP, el lenguaje con el que funcionan WordPress, PrestaShop, Joomla y la mayoría de las webs, publicó parches para dos fallos críticos, bautizados PHP2Shell, que permiten a un atacante ejecutar órdenes en un servidor sin usuario ni contraseña. Afectan a todas las versiones de PHP de los últimos catorce años, los detalles se filtraron un día antes del parche y circula una herramienta de ataque pública: de ahí el revuelo mundial.

En Opción5 hemos aplicado los parches de seguridad el mismo día, en cuestión de horas, en todas las versiones de PHP que tenían corrección, activamos reglas específicas contra este ataque en el cortafuegos de aplicaciones y comprobamos que no ha habido ningún intento de intrusión en nuestros servidores. Si tu web está alojada con nosotros, no tienes que hacer nada.

Qué es PHP y por qué te afecta

PHP es el lenguaje de programación que hace funcionar unas siete de cada diez webs del mundo, según los datos de W3Techs que recoge Infosecurity Magazine. WordPress, PrestaShop, Joomla, Magento, Drupal y la mayoría de las webs a medida se ejecutan sobre él. Cada vez que alguien abre tu web, el servidor ejecuta PHP para montar la página que ve.

Por eso un fallo en PHP es mucho más grave que un fallo en un plugin: afecta a todas las webs del servidor a la vez, aunque su código sea perfecto y estén al día. No hay nada que el dueño de la web pueda corregir en su WordPress o en su tienda; la solución está en el servidor.

Un servidor de alojamiento tiene instaladas varias versiones de PHP y cada web usa una. Las versiones viejas dejan de recibir correcciones al cabo de unos años, y esa es la clave de todo este asunto: las webs que siguen en versiones antiguas no tienen parche y existen webs que no corren en las versiones actuales de PHP.

Qué ha ocurrido

Son dos fallos en el propio motor de PHP, registrados como CVE-2026-109618 y CVE-2026-109619 y puntuados con un 9,2 sobre 10 de gravedad. Permiten a cualquiera ejecutar código en el servidor sin usuario ni contraseña, con una simple petición de envío de formulario, según el análisis de Sansec. Afectan a todas las versiones desde PHP 5.4, publicada en 2012.

El parche salió el 21 de octubre a las 16:00, hora española, en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, como detalla watchTowr. PHP publicó también correcciones mínimas para las ramas 7.4, 8.0 y 8.1, que cada proveedor debe empaquetar por su cuenta, según Datadog. Las versiones 5.x y 7.0 a 7.3 no tendrán parche nunca.

Fecha Qué pasó
21 oct 2026, noche Plesk, el panel que usamos en Opción5, publica las versiones corregidas de PHP 7.4, 8.0 y 8.1 (aviso de Plesk)
21 oct 2026, 16:00 PHP publica los parches 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (watchTowr)
21 oct 2026, 09:43 Cloudflare detecta los primeros ataques, seis horas antes del parche (Sansec)
21 oct 2026 CERT-EU y el centro de ciberseguridad británico emiten avisos de emergencia (Infosecurity Magazine)
20 oct 2026 Los identificadores de los fallos se filtran en el foro Hacker News antes de lo previsto; watchTowr confirma que son reales (Infosecurity Magazine)
24 ago 2026 La empresa de seguridad Wiz descubre el fallo por su cuenta y lo comunica a PHP (Sansec)
11 ago 2026 Los investigadores de Calif, en colaboración con OpenAI, informan a PHP del fallo (Sansec)

Desde el aviso de agosto hasta el parche de octubre pasaron más de dos meses, el tiempo que PHP tardó en preparar una corrección coordinada para todas sus versiones.

El revuelo: por qué todo el mundo habla de ello

El fallo iba a publicarse de forma ordenada, con el parche listo, pero el 20 de octubre alguien adelantó los identificadores en el foro Hacker News. El equipo de seguridad de PHP tuvo que confirmar en público que trabajaba en la corrección, avisando de que se reservaba el derecho a publicarla antes si los detalles se hacían públicos, según recoge Infosecurity Magazine. Desde ese momento, atacantes y defensores corrieron la misma carrera.

La carrera la ganaron, en un primer momento, los atacantes: Cloudflare vio los primeros ataques la mañana del 21, antes del parche, y la herramienta de ataque, llamada PHP2Shell, se publicó con las explicaciones técnicas, según Sansec. watchTowr observa intentos de explotación activos, y Datadog describe rastreos masivos e indiscriminados por todo internet en busca de servidores sin parchear.

La escala explica el nerviosismo. PHP corre en cientos de millones de sistemas y en siete de cada diez webs, según watchTowr; cada tienda, cada blog y cada web corporativa estaba expuesta a la vez, con independencia de lo bien hecha que estuviera. Cloudflare activó reglas de emergencia en su cortafuegos para todos sus clientes y CERT-EU llegó a recomendar aislar de internet las aplicaciones que no pudieran parchearse, según el resumen de Tenable.

Los proveedores de alojamiento y paneles enviaron avisos en cadena. Plesk publicó su boletín con las versiones corregidas y WHMCS, el sistema de facturación que usan miles de empresas de hosting, escribió a todos sus clientes pidiéndoles que prepararan la actualización. Desde el propio núcleo de PHP, Gina Peter Banyard zanjó el debate sobre atajos: la única mitigación real es parchear.

Qué significa para tu web

En un servidor sin parchear, un atacante puede hacer en tu web lo mismo que haría con tu contraseña de administrador, sin tenerla. Puede colocar páginas falsas o publicidad, instalar programas maliciosos que infecten a tus visitantes, enviar correo basura desde tu dominio, robar los datos de tus clientes o usar tu web como trampolín para atacar a otros. Google y los navegadores acaban marcando esas webs como peligrosas, y recuperar la reputación cuesta semanas.

El problema de fondo son las versiones antiguas de PHP. Un recuento de Mallory con datos de Shodan del 21 de octubre cuenta unos 2,6 millones de servicios en internet que declaran su versión de PHP, y casi tres de cada cuatro usan la 8.1 o una anterior, las ramas que no reciben parches normales. Solo la 7.4 suma unas 411.000, y PHP dejó de mantenerla en 2022.

Que una web funcione no significa que esté protegida. Muchas tiendas y portales llevan años en versiones viejas porque su programa no admite una nueva, y hasta ahora el riesgo era teórico. Con una herramienta de ataque pública y rastreos masivos en marcha, ha dejado de serlo.

Qué hemos hecho en Opción5

Las webs alojadas en Opción5 quedaron parcheadas el mismo 21 de octubre, pocas horas después de publicarse las correcciones. Nuestro equipo siguió el aviso desde primera hora, aplicó las actualizaciones en cuanto estuvieron disponibles y reinició todos los procesos de PHP para que ninguno siguiera ejecutando código antiguo.

Además del parche, reforzamos el cortafuegos de aplicaciones con reglas específicas contra PHP2Shell, que cortan el patrón del ataque antes de que llegue a PHP. Lo probamos con una petición de ataque simulada: bloqueada; el tráfico normal, intacto. También comprobamos que la configuración de nuestros servidores ya anulaba la vía que usa la herramienta de ataque pública.

Revisamos los registros de los servidores y no encontramos ningún intento de ataque con este fallo ni rastro de intrusión. Desde entonces el cortafuegos sigue registrando y bloqueando los rastreos automatizados que recorren internet, y las actualizaciones de seguridad se aplican de forma automática.

Qué puedes hacer tú

Si tu web está alojada en Opción5, el parche ya está puesto y no tienes que tocar nada. Aun así, este episodio deja cuatro lecciones que valen para cualquier web:

  • No te quedes en una versión antigua de PHP. Si tu tienda o tu portal solo funciona con una versión sin soporte, el problema no es PHP, es el programa; conviene actualizarlo o sustituirlo antes de que el siguiente fallo llegue sin parche.
  • Mantén al día WordPress, PrestaShop o Joomla y sus plugins. Este fallo no se arreglaba desde ahí, pero la mayoría de los ataques que vemos cada semana entran por extensiones sin actualizar.
  • Ten copias de seguridad que no dependan del propio servidor. Nosotros hacemos copias diarias; si gestionas tu web, comprueba que puedes restaurarla.
  • Usa contraseñas distintas y fuertes en el panel, el correo y el administrador de la web, y activa la verificación en dos pasos donde exista.

Si sospechas que tu web se comporta de forma rara, carga lenta, muestra contenido que no has puesto o aparece marcada como peligrosa en Google, escríbenos a soporte@opcion5.com y la revisamos.

Preguntas frecuentes sobre PHP2Shell

¿Me han atacado?

No hemos detectado ningún intento de explotar este fallo ni rastro de intrusión en los servidores de Opción5. Los rastreos automáticos que el cortafuegos bloquea cada día son los de siempre.

¿Tengo que hacer algo?

No, si tu web está alojada con nosotros. Si tienes otra web en otro proveedor, pregúntale si aplicó los parches del 21 de octubre y en qué versión de PHP está.

¿Por qué no se parchea todo?

PHP solo corrige las versiones con soporte, de la 8.2 a la 8.5, y ha publicado correcciones mínimas para la 7.4, la 8.0 y la 8.1. Las ramas 5 y 7.0 a 7.3 no tendrán arreglo nunca, y las webs que las necesitan tienen que actualizar su programa.

¿Volverá a pasar?

Sí. Fallos así aparecen cada cierto tiempo en cualquier tecnología, y lo que marca la diferencia es la rapidez con la que se parchea. Por eso mantenemos las actualizaciones de seguridad automáticas, un cortafuegos de aplicaciones con reglas al día y copias de seguridad diarias.

¿Cómo sé en qué versión de PHP está mi web?

Aparece en tu panel de Plesk, en la ficha del dominio, o preguntándonos a soporte@opcion5.com.

Fuentes

 

Publicaciones Similares