PHP2Shell: la falla crítica de PHP que ya se explota en servidores reales

Basta una petición suya

PHP es uno de los lenguajes que más sostiene la web: con él funcionan WordPress, millones de tiendas en línea y buena parte de los sitios que usted visita a diario. Pues bien, dos fallas en el propio motor de PHP permiten que cualquier persona en internet ejecute código ajeno en el servidor que visite, sin cuenta, sin contraseña y sin que nadie haga nada raro. Ejecución remota de código (RCE, tomar el control de una máquina desde la red), calificada con 9.2 sobre 10 en la escala CVSS v4.0, la medida estándar de gravedad de estas cosas. Los números oficiales: CVE-2026-109618 y CVE-2026-109619.

Un secreto que se rompió

El plan era divulgar los detalles el 22 de octubre, pero la información se filtró en redes sociales el día 20. El PHP Foundation adelantó un release de seguridad de emergencia para el 21 y, casi al mismo tiempo, apareció en público una herramienta de prueba llamada PHP2Shell, la misma que bautizó el incidente. WatchTowr, empresa de inteligencia de amenazas que observa a los atacantes mediante honeypots (servidores señuelo diseñados para que los ataquen), confirmó explotación activa desde ese mismo día 21.

Qué pasa por dentro

Los dos fallos, encontrados por el equipo de investigación Calif, son corrupciones de memoria con formas distintas de manifestarse:

CVE-2026-109618: si PHP se queda sin memoria a mitad de la preparación de una petición, deja datos a medio construir que el código de limpieza sigue utilizando como si fueran válidos.
CVE-2026-109619: estado interno del motor sobrevive a la memoria de la petición que lo creó, y el siguiente cliente que atiende ese mismo trabajador actúa sobre datos que ya no existen.

Hay una vía confirmada para el segundo caso: Session Upload Progress, una función pensada para mostrar el avance de una subida de archivos que viene activada por defecto. O sea: el escenario vulnerable es el más común, no uno exótico.

A quién le toca y qué hacer

Toda instalación que sirva peticiones web con PHP: mod_php (PHP embebido en Apache, el de mayor riesgo según el propio PHP Foundation, porque el ataque puede golpear antes de que corra una línea de su aplicación), PHP-FPM, php-cgi, LiteSpeed y FrankenPHP. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso oficial es inusualmente directo: ningún cambio de configuración en los archivos .ini cierra el agujero; solo actualizar. Quienes sigan en PHP 7.4, 8.0 u 8.1, ramas sin soporte oficial, necesitan los parches retroactivos de su distribución o un salto de versión ya. Y antes de parchear tarde, conviene revisar si hay webshells (archivos maliciosos que quedan a la espera de órdenes), tareas programadas desconocidas o cuentas nuevas.

Y aquí, ¿qué?

Al conocer la noticia revisamos el servidor de SynthMindset: PHP no existe aquí en ninguna de sus formas. Este sitio corre sobre Node y NGINX, fuera del radio de ataque de estos fallos. Si su página sí vive sobre PHP, la instrucción cabe en una línea: parchée hoy. Cuando la explotación ya es pública y automatizada, la actualización deja de ser una recomendación de mantenimiento y pasa a ser la diferencia entre tener un servidor y que lo tengan por usted.