Vulnerabilidad crítica en PHP PHP2Shell: qué deben saber ahora los clientes de hosting web

PHP2Shell: Descubiertas dos vulnerabilidades críticas en PHP

Bajo la denominación PHP2Shell se han divulgado dos vulnerabilidades críticas en el popular lenguaje de programación PHP. Están registradas con los identificadores CVE-2026-109618 y CVE-2026-109619 y ambas tienen una puntuación CVSS-v4 de 9,2.

Bajo ciertas condiciones, los atacantes pueden explotar los fallos para lograr una Ejecución Remota de Código (Remote Code Execution, RCE). Esto permitiría ejecutar código propio en un servidor afectado sin necesidad de autenticación previa. Según los privilegios del proceso PHP, podrían leerse datos sensibles, modificarse sitios web o prepararse ataques adicionales.

Las causas se deben a la gestión interna de memoria de PHP: en CVE-2026-109618 el tratamiento de un error de memoria puede conducir a estados erróneos durante la limpieza de una petición. CVE-2026-109619 afecta a un estado global que puede apuntar a memoria de petición ya liberada. Por tanto, el problema reside en PHP en sí y no en el código de un único sistema de gestión de contenidos.

Podrían verse afectadas, por tanto, aplicaciones web basadas en PHP como WordPress, Joomla, Drupal y tiendas online. Los desarrolladores de PHP citan PHP-FPM, Apache con mod_php, PHP-CGI, FrankenPHP y LiteSpeed como modos de ejecución relevantes. Para mod_php consideran el riesgo especialmente alto, porque un ataque puede desencadenarse incluso antes de la ejecución del código de la aplicación.

¿Qué versiones de PHP están afectadas?

El proyecto oficial de PHP publicó el 21 de octubre de 2026 actualizaciones de seguridad para las ramas de versiones actualmente soportadas.

Con versiones antiguas de PHP la situación es más complicada. Un número de versión antiguo no significa automáticamente que un servidor esté desprotegido: las distribuciones de Linux, los proveedores LTS y las empresas de hosting pueden proporcionar correcciones de seguridad específicas como backports sin cambiar el número principal de versión. Algunos proveedores de hosting ofrecen esto en el marco de un PHP Extended Supports.

Por tanto, no basta con fijarse únicamente en el número de versión mostrado. Los responsables deberían comprobar si para la instalación concreta de PHP existe una actualización efectiva o un backport confirmado y si este ya está activo.

¿Quién es responsable de las actualizaciones de seguridad de PHP?

En el clásico hosting web compartido el proveedor normalmente administra el sistema operativo, el servidor web y PHP. Por tanto, las actualizaciones de seguridad del entorno de ejecución de PHP suelen ser responsabilidad suya. Los clientes deberían comprobar el estado de los parches y, si procede, seleccionar en el panel de hosting una versión de PHP segura.

En WordPress gestionado y en servidores gestionados el proveedor asume tareas de mantenimiento adicionales. Hasta qué punto abarcan depende, no obstante, del plan contratado. Mientras que el entorno de ejecución de PHP suele ser mantenido por el proveedor, las actualizaciones de WordPress, plugins, temas o de software instalado de forma personalizada pueden seguir correspondiendo al cliente.

En VPS no gestionados y en Servidores Dedicados el hoster proporciona principalmente la infraestructura. El sistema operativo, PHP y el servidor web deben actualizarse por lo general por el cliente o su administrador. Esto se aplica incluso si Plesk o cPanel facilitan el trabajo: las funciones de actualización en una tarifa no gestionada siguen debiendo configurarse y controlarse por el propio cliente.

La tabla describe las responsabilidades habituales. En todo caso, prevalecen siempre las prestaciones acordadas contractualmente en el plan de hosting correspondiente.

¿Cómo reaccionan los proveedores de hosting web ante PHP2Shell?

La forma de actuación varía según el proveedor, el producto y la versión de PHP utilizada. Por ello, los responsables deben comprobar siempre el mensaje de estado relativo a su plan.

IONOS: mantenimiento de seguridad en curso

IONOS indica en su Statusseite que se están realizando tareas de mantenimiento de seguridad. Según la empresa, los servicios afectados se restablecerán; durante este proceso los sitios web pueden estar temporalmente menos accesibles o responder con más lentitud. Para los VPS autogestionados y los servidores bare-metal, los clientes deben realizar las actualizaciones necesarias por su cuenta.

Hetzner: actualizaciones también para varias ramas de versiones antiguas

Hetzner informó en su Statusseite que PHP 7.4 y PHP 8.0 hasta 8.5 se actualizaron con versiones parcheadas en servidores de hosting web y servidores gestionados. Para versiones de PHP aún más antiguas, la empresa sigue trabajando en backports. Esto demuestra que incluso ramas de versiones que ya no reciben soporte regular pueden protegerse mediante mantenimiento por parte del proveedor.

Alfahosting: comprobar el estado y el modelo de tarifa

Alfahosting también informa sobre las vulnerabilidades de seguridad en su página de estado. Para los clientes de hosting web el proveedor puede gestionar el entorno PHP; en cambio, los responsables de VPS y de servidores dedicados deberían comprobar de inmediato el estado de los parches de sus sistemas e instalar las actualizaciones disponibles.

¿Qué deben hacer ahora concretamente los responsables de sitios web?

La medida necesaria depende del modelo de hosting y del estado real de los parches. Para sistemas accesibles públicamente debe priorizarse la comprobación.

1. Determinar el modelo de hosting: Comprobar si el sitio web está en hosting compartido, en una oferta gestionada o en un servidor autogestionado.
2. Comprobar la versión de PHP y el estado de los parches: La versión usada suele aparecer en el área de cliente. Nuestro artículo explica, cómo determinar la versión actual de PHP. En ramas de versiones antiguas, preguntar expresamente por un backport de seguridad.
3. Leer la notificación del proveedor: Los avances se comunican a menudo mediante páginas de estado, avisos a clientes o el soporte. Si falta una confirmación clara, debe contactarse con el servicio de atención al cliente.
4. Actualizar servidores propios: Los responsables de VPS no gestionados y de servidores dedicados deberían aplicar de inmediato las actualizaciones de seguridad del sistema operativo o del proveedor de PHP, reiniciar los procesos de PHP y del servidor web afectados y comprobar todas las instalaciones de PHP.
5. Comprobar registros y copias de seguridad: Tras la actualización, verificar el funcionamiento del sitio web, las copias de seguridad y, en caso de anomalías, los registros del servidor. Un parche cierra la vulnerabilidad, pero no elimina una posible compromisión ya ocurrida.

Las medidas temporales de configuración pueden restringir ciertos vectores de ataque, pero no sustituyen una actualización. El proyecto PHP las señala expresamente como una solución incompleta. Si un sistema accesible públicamente es demostrablemente vulnerable y no puede actualizarse con rapidez, debería restringirse temporalmente el acceso público o aislar la aplicación.

Durante el mantenimiento pueden producirse interrupciones. Con una monitorización HTTP regular se puede supervisar la disponibilidad y los tiempos de respuesta. No obstante, esto no sustituye una actualización de seguridad ni una investigación forense en caso de sospecha de compromiso.

¿Es suficiente una actualización de WordPress?

No. Las vulnerabilidades se encuentran en PHP y no en el código de WordPress. Por tanto, una instalación de WordPress completamente actualizada no está suficientemente protegida mientras se ejecute sobre un entorno de ejecución de PHP vulnerable.

Las actualizaciones periódicas de WordPress, temas y plugins siguen siendo imprescindibles, ya que corrigen otras brechas de seguridad. En el hosting web clásico, sin embargo, el cliente normalmente no tiene que modificar código PHP: la actualización del entorno del servidor suele ser responsabilidad del proveedor de alojamiento.

Conclusión: ¿Qué tan urgente deben actuar los clientes de hosting web?

PHP2Shell es una amenaza seria para sitios y aplicaciones basados en PHP. Las versiones corregidas de PHP ya están disponibles; los sistemas afectados deben protegerse lo antes posible.