PHP publica parches de urgencia por dos fallos críticos PHP2Shell con intentos de explotación

El equipo de desarrollo de PHP ha lanzado una actualización de emergencia para solucionar dos vulnerabilidades críticas que podrían permitir a un atacante ejecutar código malicioso en servidores sin necesidad de autenticación. Estos fallos, conocidos conjuntamente como PHP2Shell, ya están siendo explotados activamente, por lo que la recomendación es clara: actualizar los sistemas afectados y reiniciar los servicios lo antes posible.

Los errores, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de 9,2 sobre 10 en la escala CVSS, lo que indica un riesgo alto. Lo preocupante es que no dependen del código de la aplicación web que se ejecute en el servidor, sino de la propia configuración del motor PHP. Esto significa que incluso sitios con páginas simples o sin lógica compleja podrían verse comprometidos si utilizan una versión vulnerable del lenguaje.

¿Dónde está el peligro?

El primer fallo (CVE-2026-109618) permite corromper la memoria del servidor, lo que podría derivar en la ejecución de código con los permisos del proceso web. El segundo (CVE-2026-109619) explota un problema de gestión de memoria obsoleta, pudiendo filtrar información sensible almacenada en la RAM del servidor, como contraseñas, tokens o claves API. Ambos afectan a múltiples entornos, incluyendo Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP y LiteSpeed.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Sin embargo, no basta con instalar el parche: es necesario reiniciar los servicios (Apache, PHP-FPM o cualquier worker persistente) para garantizar que se cargue la versión actualizada. En entornos donde no sea posible actualizar de inmediato, existen medidas temporales, como ajustar límites de memoria o desactivar ciertas funciones, aunque estas no eliminan el riesgo por completo.

Qué significa para tu negocio

Si tu empresa utiliza servidores web con PHP —algo común en gestores de contenido como WordPress, tiendas online o aplicaciones internas—, este fallo te afecta directamente. Un ataque exitoso podría dar acceso a datos confidenciales de clientes, credenciales de bases de datos o incluso permitir la instalación de malware en tu infraestructura. La solución es sencilla: actualiza PHP a la última versión disponible y reinicia los servicios. Si gestionas tus servidores a través de un proveedor externo, verifica que ya hayan aplicado los parches. En caso de duda, consulta con tu equipo técnico o con el soporte de tu hosting. La ciberseguridad no es solo un tema de grandes corporaciones: un fallo como este puede paralizar una pyme en cuestión de horas.