PHP2Shell: dos fallos RCE críticos en PHP, parcheados

El 21 de octubre de 2026, el equipo de seguridad de PHP publicó parches de emergencia para PHP2Shell, dos fallos críticos de ejecución remota de código (RCE) registrados como CVE-2026-109618 y CVE-2026-109619. Ambos puntúan 9,2 (Crítica) en CVSS v4.0 y afectan a PHP 5.4–8.5, el lenguaje que sostiene cerca del 69% de los sitios web. No hace falta iniciar sesión: una sola petición multipart/form-data manipulada desencadena el fallo.

¿Qué es PHP2Shell?

PHP2Shell es el nombre de una cadena de explotación que combina dos fallos de seguridad de memoria en el propio PHP, descubiertos por la firma californiana Calif (junto a OpenAI) y por la empresa de seguridad en la nube Wiz.

Cuando una petición PHP falla gravemente —normalmente por falta de memoria— la rutina de limpieza libera memoria a la que otros puntos del proceso trabajador siguen apuntando. El atacante manipula ese estado para que la siguiente petición ejecute su código en el servidor, antes de que se ejecute cualquier código de la aplicación, por lo que incluso las aplicaciones bien programadas quedan expuestas.

Las vulnerabilidades críticas de seguridad en PHP han demostrado lo difícil que es limpiar memoria en procesos web de larga duración.

Cómo funciona el ataque

CVE-2026-109618: RCE por corrupción en OOM

Se alcanza mediante el análisis de subidas de formularios: longitudes ausentes, cabeceras de partes infinitas o campos de archivo vacíos con nombres anidados fuerzan a PHP a salir de la ejecución normal y dejan la memoria de la petición corrupta. En mod_php de Apache, el ataque completo funciona con los límites por defecto.

CVE-2026-109619: RCE por estado global obsoleto

Usa memoria del trabajador PHP después de haber sido liberada. PHP confirmó la ejecución de código por la traza de error fatal en mod_php y por la ruta de progreso de subida de sesión en mod_php y PHP-FPM. Afecta a todos los modos habituales: PHP-FPM, mod_php (el más peligroso), php-cgi, FrankenPHP y LiteSpeed.

Se validaron ataques contra WordPress, Drupal, Magento, Joomla, MediaWiki, Nextcloud, Roundcube, phpMyAdmin, Laravel, Symfony y WHMCS. Wiz las calificó como «entre las vulnerabilidades más graves descubiertas en PHP, y posiblemente en la historia del software».

Qué está confirmado y qué no

Confirmado

• Dos fallos críticos en el núcleo de PHP, no en un plugin ni framework.
• Ambos con 9,2 sobre 10 (CVSS v4.0).
• Parches de emergencia publicados el 21 de octubre de 2026 a las 14:00 UTC.
• RCE sin autenticación validada en mod_php y en PHP-FPM por la ruta de sesión.
• Explotación observada: watchTowr vio ataques en sus honeypots tras los avisos de Cloudflare.
• Ninguna configuración ofrece una solución completa; solo actualizar cierra todas las vías.

Reportado, sin confirmar por PHP

• Que todas las aplicaciones citadas sean vulnerables.
• La escala real de los ataques activos; CISA aún no los había listado como explotados.
• Estimaciones de exposición: un cálculo aproximado situó a más de 1,3 millones de hosts posiblemente vulnerables.

Qué hacer si usas PHP

La recomendación del sector es unánime: «la única mitigación es parchear o actualizar PHP», como resumió la desarrolladora Gina Peter Banyard.

1. Localiza cada PHP que ejecutas. La versión de línea de comandos puede diferir de la del servidor; revisa PHP-FPM y los módulos de Apache por separado.
2. Actualiza de inmediato. Instala PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 y consulta los avisos de tu distribución o proveedor de hosting.
3. No confíes en la configuración. Ajustes como session.upload_progress.enabled=0 o memory_limit=-1 solo bloquean algunas rutas.
4. Gana tiempo si no puedes parchear. Cloudflare activó reglas de firewall para todos sus clientes, incluidos los planes gratuitos; desconectar el sitio es lo más seguro.
5. Busca indicios de compromiso. Archivos PHP inesperados, administradores nuevos, conexiones salientes raras y reinicios sin motivo.

Por qué importa

PHP impulsa blogs, tiendas, foros, portales gubernamentales y la mayoría de las instalaciones de WordPress. Como el parche revela el código vulnerable, los atacantes pueden comparar versiones y crear exploits con rapidez. Sansec advirtió de que la explotación masiva de servidores web podría empezar en cuestión de minutos. Muchos sitios siguen con PHP 7 y PHP 5, ya sin soporte.

El impacto se vio el mismo día: varios sitios gubernamentales europeos se desconectaron por precaución y el CTO de Cloudflare dijo que estaban «viendo los primeros ataques». A ello se suma la preocupación por la seguridad de las autoridades de certificación y otras infraestructuras críticas.

FAQ

¿Qué es PHP2Shell?

Dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten RCE sin autenticación en servidores con PHP 5.4 a 8.5.

¿Qué versiones están afectadas?

Todas, de la 5.4 a la 8.5. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; hay parches de código para 7.4, 8.0 y 8.1.

¿Cómo protejo mi servidor?

Actualiza PHP de inmediato. Ninguna configuración bloquea el ataque por completo; las mitigaciones temporales solo sirven hasta poder parchear.

¿Se ha explotado en el mundo real?

Sí. Cloudflare reportó intentos antes del parche y watchTowr observó explotación en su red de honeypots el 21 de octubre de 2026.

¿Basta con actualizar WordPress o un plugin?

No. El fallo está en PHP, por debajo del código de la aplicación. Debes actualizar PHP, no solo el CMS o los plugins.