PHP2Shell: la vulnerabilidad crítica que afecta a casi todos los servidores PHP

Información actualizada al 21 de octubre de 2026. Es un tema en desarrollo y los detalles pueden cambiar en los próximos días.

PHP es el lenguaje con el que funcionan WordPress, WooCommerce, Laravel, Moodle, PrestaShop y buena parte de los sistemas de facturación electrónica que se usan en el Perú. Por eso, cuando aparece una falla en el propio intérprete de PHP —y no en un plugin o en una aplicación concreta— el impacto es enorme: afecta a casi cualquier servidor que ejecute PHP, sin importar qué programa tenga encima.

Eso es exactamente lo que pasó esta semana con PHP2Shell, el nombre con el que se conoce a dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619.

¿Qué pasó?

• 20 de octubre: detalles de las fallas se filtraron en Hacker News antes de la fecha de publicación coordinada. El post se borró, pero las capturas ya circulaban.
• 21 de octubre: el equipo de PHP adelantó la publicación de los parches (estaba prevista para el 23 de octubre) y liberó las versiones corregidas.
• Ese mismo día, Cloudflare y varios proveedores de hosting reportaron tráfico de ataque real intentando explotar las fallas.

¿En qué consisten las vulnerabilidades?

Ambas tienen una puntuación CVSS v4.0 de 9.2 (crítica) y permiten ejecución remota de código (RCE): que un atacante ejecute comandos en tu servidor.

• CVE-2026-109618 — error de memoria durante el arranque de la petición. Si PHP se queda sin memoria mientras prepara los datos de una petición, el proceso se interrumpe y esos datos quedan inicializados a medias. Luego, al limpiar la petición, PHP trata esa información incompleta como si fuera válida, y eso abre un camino para ejecutar código.
• CVE-2026-109619 — estado “fantasma” entre peticiones (use-after-free). PHP conserva referencias a datos de una petición después de haber liberado su memoria. Si el mismo proceso atiende otra petición, puede usar esos datos ya liberados antes de reiniciarlos, lo que permite al atacante controlar memoria del proceso.

Según los análisis publicados, el ataque se apoya en peticiones multipart (las que se usan para subir archivos) y en la función de progreso de subida de sesiones (session.upload_progress), que viene activada por defecto. Lo más preocupante: un exploit funcional demostró que una sola petición sin autenticar puede disparar el ataque antes de que se ejecute una línea de código de tu aplicación. Es decir, no importa qué tan bien programado esté tu sitio.

¿A quién afecta?

Prácticamente a cualquier instalación de PHP que atienda peticiones web:

• Versiones: todas las ramas desde PHP 5.4 están afectadas por al menos una de las dos fallas. Solo hay versiones oficiales corregidas para PHP 8.2, 8.3, 8.4 y 8.5.
• Modos de ejecución: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los entornos con mod_php se consideran los de mayor riesgo.
• Hosting compartido: el riesgo es mayor, porque una cuenta comprometida puede servir de puerta de entrada al resto del servidor.
• Versiones sin soporte (PHP 7.x, 8.0 y 8.1): no reciben versiones oficiales corregidas. Son, hoy, las más expuestas.

¿Por qué es tan grave?

Un atacante que logra ejecutar código en tu servidor puede hacer prácticamente lo que quiera: robar la base de datos de clientes y ventas, extraer tu certificado digital y las credenciales SOL que usas para facturar, instalar puertas traseras, usar el servidor para enviar spam o minar criptomonedas, o cifrar tu información y pedir un rescate.

A eso se suma que los detalles se filtraron antes de tiempo: los atacantes tuvieron acceso a la información al mismo tiempo que los administradores. La reacción fue tan seria que varias organizaciones, entre ellas portales del gobierno neerlandés, desconectaron sus servicios preventivamente hasta poder actualizar.

Cómo saber rápidamente si estás en riesgo

Revisa la versión de PHP de tu servidor por SSH:

php -v

Ojo: la versión de la línea de comandos puede no ser la misma que usa tu web. Para confirmarlo, revisa phpinfo() o el selector de versión de PHP de tu panel. Si tu versión es anterior a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o usas cualquier versión 8.1 o más antigua), considera tu servidor vulnerable.

¿Y ahora qué hago?

La respuesta corta es: actualizar PHP hoy mismo. Como no todos pueden hacerlo de inmediato, preparamos una guía aparte con todas las soluciones disponibles hasta el momento —parches, mitigaciones temporales, reglas de WAF y cómo detectar intentos de ataque—: PHP2Shell: cómo proteger tu servidor (soluciones y mitigaciones).

Si tienes tu sitio o sistema con PeruSoftware, ya estamos revisando y actualizando nuestros servidores. Si tu servidor está en otro proveedor y no sabes por dónde empezar, escríbenos por contacto o revisa nuestro servicio de soporte Linux.