Por Equipo BarmetMedia
El 21 de octubre de 2026 el proyecto PHP publicó parches de emergencia para dos vulnerabilidades críticas que ya tienen nombre propio: PHP2Shell. Permiten que un atacante ejecute código en un servidor web con una simple petición y sin necesidad de usuario ni contraseña. PHP es el lenguaje sobre el que funciona alrededor del 70 % de las webs, incluidas las que usan WordPress, WooCommerceWooCommerceWooCommerce: extensión gratuita de WordPress que convierte un sitio web en una tienda online con catálogo, carrito, pasarela de pago y gestión de pedidos. Qué…, PrestaShop o Magento, así que el aviso afecta a una parte enorme de Internet.
En esta guía explicamos qué son estos fallos, a quién afectan, qué versiones los corrigen y qué debe hacer una empresa que tiene su web en un hosting o en un servidor propio.
En resumen
PHP2Shell es el nombre con el que la comunidad de seguridad agrupa dos vulnerabilidades en el núcleo de PHP. El nombre alude a una «shell», es decir, una línea de comandos abierta en la máquina de otra persona: justo lo que consigue el atacante si explota el fallo.
Según la información publicada por el proyecto y recogida por medios especializados, los fallos afectan a cualquier instalación de PHP que sirva peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Fueron descubiertos por los equipos de investigación de Calif, OpenAI y Wiz, que trabajaron de forma independiente, y los tres emplearon modelos de inteligencia artificial en su búsqueda.
Cada vez que alguien visita una página de WordPress o compra en una tienda online, un proceso de PHP recibe la petición, consulta la base de datos, genera la página y limpia la memoria que ha usado. Los dos fallos aprovechan precisamente la preparación y la limpieza de esa memoria.
PHP fija un límite de memoria por petición. Cuando se alcanza, el intérprete abandona lo que estaba haciendo de golpe. Si eso ocurre mientras monta sus estructuras internas, las deja a medio construir y la fase de limpieza las trata como si estuvieran completas. Un atacante puede forzar esa situación con peticiones diseñadas para saturar el proceso y corromper su memoria, y a partir de ahí llegar a ejecutar su propio código. Los investigadores confirmaron la ejecución remota de código contra Apache con mod_php usando los límites de entrada y de memoria por defecto.
PHP reutiliza el mismo proceso para atender peticiones sucesivas. Si un error interrumpe una petición en el momento justo, pueden quedar restos, como errores o datos de sesión, que apuntan a memoria ya liberada. La siguiente petición los usa antes de que se limpien y, con una manipulación cuidadosa, eso basta para ejecutar código.
Los detalles iban a publicarse el jueves 22 de octubre, pero una publicación en un foro anticipó la existencia de los fallos y el proyecto adelantó los parches un día. Antes de que salieran las versiones corregidas, Cloudflare ya había desplegado reglas en su cortafuegos web para bloquear métodos de explotación conocidos y confirmó que estaba observando los primeros ataques contra ambas vulnerabilidades. También se reportaron intentos contra proveedores de alojamiento.
Las autoridades han reaccionado con recomendaciones tajantes. Según la prensa, el FBI y la NSA aconsejaron retirar de Internet los sistemas que no puedan parchearse de inmediato, conservar los registros del servidor y denunciar cualquier intrusión. En Europa, el CERT-EU recomendó aislar de las redes públicas las aplicaciones expuestas hasta corregirlas. Varias webs públicas se desconectaron por precaución. Unit 42, de Palo Alto Networks, estima que más de 22 millones de aplicaciones web y servidores están expuestos.
Las ramas 8.1 y anteriores ya no reciben actualizaciones oficiales del proyecto. Dada la gravedad, el equipo de seguridad de PHP ha publicado retroportes mínimos del código fuente para PHP 7.4, 8.0 y 8.1 pensados para quien compila PHP por su cuenta o no dispone de un proveedor con soporte extendido. Para el resto, la recomendación es migrar a una rama soportada.
Este es el punto que más confusión genera. La vulnerabilidad reside en el intérprete de PHP del servidor, no en el CMS, el tema o los plugins. Por eso actualizar WordPress, WooCommerceWooCommerceWooCommerce: extensión gratuita de WordPress que convierte un sitio web en una tienda online con catálogo, carrito, pasarela de pago y gestión de pedidos. Qué… o cualquier plugin no corrige PHP2Shell si el PHP del servidor sigue sin parchear. La responsabilidad de aplicar la actualización recae en quien gestiona la infraestructura: el equipo interno, la agencia, el proveedor de hosting o el operador cloud.
Esto no significa que el resto del mantenimiento deje de ser importante. Un sitio con plugins desactualizados sigue siendo vulnerable por otras vías. Pero para este fallo concreto, la acción decisiva se hace en el servidor.
Las guías técnicas publicadas coinciden en medidas para reducir la superficie de ataque mientras se actualiza: limitar la memoria y el tamaño de las peticiones, desactivar session.upload_progress y, en PHP 8.5, establecer fatal_error_backtraces=0 y reiniciar todos los procesos. Un desarrollador del núcleo de PHP advirtió de que ninguna mitigación bloquea por completo los ataques y de que solo el parche oficial es una defensa permanente.
La corrección introduce un límite duro de memoria. Si una aplicación lo alcanza, el proceso puede terminar y omitir los manejadores de cierre. Conviene revisar, tras actualizar, que tiendas online, formularios y procesos largos (importaciones, copias de seguridad) siguen funcionando con normalidad.
La prensa señaló que el aviso de PHP coincidió con otras correcciones relevantes: Node.js publicó versiones que corrigen diez vulnerabilidades, una de ellas de ejecución remota de código en el descompresor Brotli, y GitLab corrigió un fallo con la máxima puntuación que afecta a instalaciones autogestionadas. Por su parte, la plataforma Railway detuvo las aplicaciones de sus clientes tras detectar un posible acceso a variables de entorno. Ninguna de las tres compañías ha vinculado esos incidentes con PHP2Shell.
En BarmetMedia gestionamos el alojamiento y el mantenimiento de webs de empresa en WordPress, WooCommerceWooCommerceWooCommerce: extensión gratuita de WordPress que convierte un sitio web en una tienda online con catálogo, carrito, pasarela de pago y gestión de pedidos. Qué… y PrestaShop. Cuando aparece un fallo de este tipo, el trabajo se divide en tres partes: inventariar qué versión de PHP usa cada sitio, aplicar la actualización y reiniciar los servicios, y verificar después que cada web funciona y que no hay actividad sospechosa en los registros.
Seguridad y mantenimiento web
¿Sabes qué versión de PHP ejecuta tu web?
Revisamos tu sitio, confirmamos si necesita actualización y te explicamos qué hay que hacer, sin compromiso.
Lo está si el PHP del servidor donde se aloja no tiene aplicada una de las versiones corregidas (8.5.12, 8.4.27, 8.3.36 u 8.2.35). El fallo es del lenguaje, no de WordPress, así que depende del servidor y no del plugin o tema que uses.
No. Esas actualizaciones son recomendables por otros motivos, pero no corrigen una vulnerabilidad del intérprete de PHP. Hay que actualizar PHP en el servidor.
Las ramas 8.1 y anteriores no reciben actualizaciones oficiales. Debes migrar a una rama soportada (8.2 o superior) o contar con un proveedor que ofrezca soporte extendido. Antes de migrar, conviene probar que el tema y los plugins son compatibles.
Las autoridades recomiendan desconectar los sistemas expuestos que no puedan parchearse de inmediato. Si tu proveedor ya ha actualizado PHP, no es necesario. Si no puedes confirmarlo, consulta con un especialista antes de decidir.
Conserva los registros del servidor y revisa peticiones anómalas, archivos nuevos o modificados que no reconozcas y usuarios creados sin tu conocimiento. Si sospechas de una intrusión, cambia contraseñas y claves, y denúncialo a las autoridades competentes.
Nota de transparencia: este artículo se ha elaborado con asistencia de inteligencia artificial y ha sido revisado por el equipo de BarmetMedia. La información corresponde al 22 de octubre de 2026 y puede cambiar a medida que se publiquen nuevos detalles.
