PHP2Shell: comprueba si tu PHP está afectado y corrígelo

¿Qué hay que saber sobre PHP2Shell?

Empieza por aquí: qué es PHP2Shell, quién ha avisado y qué está confirmado y qué no.

¿Qué es PHP2Shell y cómo de grave es?

PHP2Shell es el nombre que Wiz Research dio a dos fallos de seguridad de memoria en el intérprete de PHP: CVE-2026-109618 («RCE via OOM corruption») y CVE-2026-109619 («RCE via stale global state»). El proyecto PHP califica ambos como críticos (puntuación CVSS 4.0 de 9.2) porque una petición desde internet puede acabar en ejecución remota de código: un atacante podría ejecutar comandos con los permisos de tu servidor web, modificar archivos del sitio y leer las contraseñas de la base de datos.

Los fallos están en PHP, no en WordPress, Drupal ni ninguna otra aplicación, así que alcanzan a cualquier web cuyo PHP atienda peticiones web con una versión sin corregir. La página sobre la vulnerabilidad PHP2Shell explica los dos fallos, a quién afectan y qué se desconoce todavía.

¿Qué gobiernos han emitido avisos sobre PHP2Shell?

Los organismos nacionales de ciberseguridad de más de una docena de países y regiones han avisado sobre PHP2Shell, entre ellos Estados Unidos (NSA, FBI), Reino Unido (NCSC), la UE (CERT-EU), Japón, Alemania, Francia, Singapur y España. La mayoría pide a las organizaciones que localicen dónde usan PHP y lo actualicen de inmediato, y varios recomiendan desconectar o aislar una web si no se puede parchear. En España, INCIBE-CERT ha publicado el aviso «Múltiples vulnerabilidades en PHP», de importancia crítica. Consulta la lista completa de avisos nacionales sobre PHP2Shell, con un enlace al aviso de cada organismo.

Solo uso internet y no tengo ninguna web. ¿Tengo que hacer algo?

No tienes que hacer nada en tu móvil ni en tu ordenador por PHP2Shell. La corrección la tienen que instalar en los servidores web las personas que gestionan las webs. Algunos productos, como los discos de red (NAS) u otros dispositivos con una página web de administración, llevan PHP integrado, como señalan varios organismos nacionales: mantén activadas sus actualizaciones de firmware e instálalas cuando el fabricante las publique. Cambia una contraseña solo si un servicio que usas te lo pide, y desconfía de correos o SMS que usen PHP2Shell como excusa para que «actualices» algo o inicies sesión: los estafadores aprovechan las grandes noticias de seguridad.

¿Se está explotando PHP2Shell ahora mismo?

Se han detectado intentos de ataque, pero no se ha confirmado ninguna intrusión con éxito. Cloudflare dijo que observó tráfico de ataque y que los atacantes modificaban sus payloads antes de que se publicara la corrección. Ninguna de las fuentes que hemos revisado a fecha de 22 de octubre de 2026 confirma que una web haya sido tomada a través de PHP2Shell, lo que no equivale a decir que nadie lo esté explotando. La afirmación, muy difundida, de que las webs caerían en los 15 minutos siguientes al parche no está respaldada por las fuentes que hemos revisado: Sansec escribió que espera una explotación masiva, sin dar plazos. En cualquier caso, actualiza ya.

¿Por qué hay tantas webs desconectadas por PHP2Shell?

Sobre todo por precaución. Los organismos de Estados Unidos, Reino Unido, la UE y Japón pidieron desconectar los sistemas con PHP que no se pudieran parchear al momento, y webs gubernamentales de Alemania, Francia, Países Bajos, Finlandia y la República Checa, el puerto de Róterdam y algunos sistemas de Wikimedia se desconectaron, según informó Reuters. Que una web esté desconectada no significa que la hayan hackeado. Consulta quién desconectó sus webs.

¿Las filtraciones de datos recientes las ha causado PHP2Shell?

No hemos encontrado ninguna prueba pública que relacione filtraciones de datos recientes concretas con PHP2Shell. Algunos proveedores de hosting suspendieron temporalmente servicios o funciones por precaución, por ejemplo Lolipop y Sakura Internet en Japón; una suspensión preventiva no es lo mismo que una brecha. Considera no verificadas las publicaciones que atribuyen una filtración concreta a PHP2Shell, salvo que la empresa afectada lo confirme.

¿PHP2Shell es lo mismo que wp2shell?

No. wp2shell es el nombre de otra vulnerabilidad crítica, en el núcleo de WordPress, que se corrige actualizando WordPress. PHP2Shell está en el propio PHP y se corrige actualizando PHP. Si usas WordPress, asegúrate de tener al día tanto WordPress como PHP.

¿Mi web está afectada por PHP2Shell?

Averigua qué PHP usa realmente tu web y compáralo con las versiones corregidas.

¿Mi web con WordPress está afectada por PHP2Shell?

Probablemente, hasta que lo compruebes. WordPress funciona sobre PHP, así que una web con WordPress está afectada cuando el PHP que la sirve es anterior a la versión corregida de su rama. Actualizar WordPress, los temas o los plugins no corrige PHP2Shell; solo lo hace una actualización de PHP. En WordPress, abre Herramientas → Salud del sitio → Información → Servidor para ver la versión de PHP. Nuestra guía de la versión PHP de WordPress lo explica paso a paso.

Para la comprobación completa en WordPress, consulta PHP2Shell y WordPress.

¿Dónde veo la versión de PHP que usa mi web?

Mira en uno de estos sitios:

• WordPress: Herramientas → Salud del sitio → Información → Servidor.
• Panel de control del hosting: los ajustes de PHP de tu dominio.
• Servidor o contenedor: php -v en ese servidor o dentro de ese contenedor. Muestra el PHP de la línea de comandos, que puede ser distinto del que sirve tu web, así que confirma qué pool de PHP-FPM o qué módulo de Apache sirve el sitio.

Introduce lo que encuentres en el comprobador de versión PHP. La guía para comprobar la versión de PHP recoge todos los métodos.

¿Se puede comprobar PHP2Shell en mi web solo con la URL?

En parte. El comprobador PHP2Shell puede leer la versión de PHP que tu web anuncia en sus cabeceras HTTP, con la lógica del php2shell-checker de OpenAI. Envía una petición normal y nada más. Muchas webs ocultan esa cabecera, y una cabecera puede ser incorrecta o no reflejar un backport del distribuidor, así que una versión ausente o de aspecto antiguo no es la última palabra. La comprobación más fiable es la versión de tu panel de control o de Salud del sitio, introducida en el mismo comprobador.

¿Ya han entrado en mi web?

Una comprobación de versión no puede decírtelo. Primero actualiza PHP y después busca cambios que no hayas hecho tú: usuarios administradores desconocidos, archivos PHP en carpetas de subidas, archivos modificados recientemente y tareas programadas que no creaste. Si encuentras algo, conserva las pruebas, cambia las contraseñas y restaura una copia de seguridad limpia. Usa la guía para saber si han hackeado tu web.

¿Cómo corrijo PHP2Shell?

Actualiza PHP a una versión corregida o al paquete parcheado de tu distribuidor y reinicia PHP.

¿Qué versiones de PHP corrigen PHP2Shell?

Son las primeras versiones corregidas de cada rama con soporte; cualquier versión posterior de la misma rama también incluye la corrección. Las distribuciones de Linux suelen aplicar la corrección a sus propios paquetes mediante backport sin cambiar el número de versión de PHP, así que un número más bajo en Ubuntu o Debian puede estar parcheado. La guía del parche PHP2Shell explica cómo actualizar y cómo confirmar que ha funcionado.

Tengo hosting compartido. ¿Mi proveedor corregirá PHP2Shell automáticamente?

En el hosting compartido o gestionado, PHP lo instala tu proveedor, así que es él quien tiene que ofrecer la versión corregida. Algunos proveedores actualizan automáticamente; otros te dejan elegir la versión de PHP de cada web, y la corrección solo se aplica cuando eliges una parcheada. Comprueba la versión que indica tu web y pregunta al soporte. La guía del parche incluye un mensaje listo para enviar a tu proveedor.

¿Y si uso PHP 7.4, 8.0 u 8.1?

Estas ramas ya no reciben versiones de PHP, así que no hay ninguna versión oficial nueva de 7.4, 8.0 u 8.1 con la corrección. Por la gravedad del problema, PHP publicó parches mínimos del código fuente para 7.4, 8.0 y 8.1 destinados a quienes compilan PHP por su cuenta, y algunas distribuciones de Linux y proveedores de soporte extendido ofrecen paquetes con backport; por ejemplo, el paquete php8.1 de Ubuntu 22.04 está corregido. Las ramas anteriores a 7.4 no tienen ningún parche oficial. La solución duradera es pasar a una rama con soporte. Consulta el fin de soporte de PHP y PHP2Shell.

¿Cómo explico PHP2Shell a mi jefe, a mis clientes o a mi hosting?

Cíñete a los hechos: qué webs usan PHP, qué versión tiene cada una, quién la va a actualizar y cuándo. Para la dirección: «PHP, la tecnología sobre la que funcionan nuestras webs, tiene dos vulnerabilidades críticas; ya hay correcciones; actualizaremos y confirmaremos todas las webs antes del [fecha]». La guía del parche tiene una solicitud lista para copiar y enviar a tu proveedor de hosting.

¿Y si todavía no puedo actualizar PHP?

Las medidas temporales reducen la exposición a vías de ataque concretas. Ninguna es una corrección.

Uso Cloudflare u otro WAF. ¿Me protege de PHP2Shell?

En parte, y solo para el tráfico que pasa por él. Cloudflare desplegó reglas de WAF para todos los planes con el WAF activado, incluido el gratuito, unas nueve horas antes de la divulgación, e informó de que los atacantes modificaban sus payloads para esquivarlas. Un WAF filtra patrones de ataque conocidos; no cambia el PHP de tu servidor, y las peticiones que llegan directamente al servidor se lo saltan. Un WAF es una capa más, no una corrección: actualiza PHP aunque uses Cloudflare. Consulta PHP2Shell y Cloudflare para saber qué revisar, y las reglas de WAF para PHP2Shell para AWS WAF, Fastly e Imperva.

¿Basta con desactivar session.upload_progress?

No. PHP indica que configurar session.upload_progress.enabled=0 bloquea algunas vías de ataque confirmadas de CVE-2026-109619, no todas las variantes, y no hace nada contra CVE-2026-109618. Además, solo funciona si se configura antes de que se procese la petición y se reinician después todos los procesos de PHP. En palabras del propio PHP, solo una actualización es una solución completa. La página de medidas temporales para PHP2Shell recoge todas las medidas oficiales para ambos fallos y sus límites.

El anuncio de seguridad de PHP lo dice claramente: «only an update is a complete solution» (solo una actualización es una solución completa). — Anuncio de seguridad de PHP

¿De dónde salen estos datos?

Del anuncio de seguridad de PHP, los dos avisos de seguridad de GitHub, los avisos de los distribuidores de Linux, los organismos nacionales de ciberseguridad y la investigación original. Los revisamos el 22 de octubre de 2026. Nunca ejecutamos exploits.

• The PHP Group: aviso de seguridad y versiones corregidas
• Aviso de GitHub: RCE via OOM corruption
• Aviso de GitHub: RCE via stale global state
• Wiz Research: investigación original de PHP2Shell
• Cloudflare: protección WAF frente a PHP2Shell
• Sansec: investigación y cronología de PHP2Shell
• Canonical: aviso de seguridad de Ubuntu sobre PHP
• Debian: aviso de seguridad de php8.4
• Lolipop: aviso de suspensión preventiva (X)
• Nikkei: Sakura Internet suspende algunas funciones
• Rapid7: wp2shell, otra vulnerabilidad del núcleo de WordPress