¿Cuáles son las dos vulnerabilidades de PHP2Shell?
Las dos son fallos de seguridad de memoria del propio PHP y se corrigen en las mismas versiones.
| Título oficial | CVE | Aviso | En pocas palabras |
|---|---|---|---|
| RCE via OOM corruption | CVE-2026-109618 | GHSA-w8hw-w9fx-j79w | Si PHP se queda sin memoria mientras todavía está preparando una petición, el código de limpieza puede usar datos a medio inicializar y corromper la memoria. |
| RCE via stale global state | CVE-2026-109619 | GHSA-6wmf-4rv5-p3rp | Cuando una petición termina y se libera su memoria, un proceso puede conservar una referencia obsoleta y usarla durante una petición posterior. |
Cada una tiene su propia página: CVE-2026-109618 y CVE-2026-109619.
¿A quién afecta la vulnerabilidad PHP2Shell?
A cualquier instalación de PHP que atienda peticiones web con una versión sin corregir. El aviso de PHP menciona PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y considera mod_php el caso de mayor riesgo, porque allí un exploit demostrado se ejecuta antes que cualquier código de la aplicación. La investigación original indica que al menos uno de los fallos se remonta a PHP 5.4.
| Cómo se ejecuta PHP | Afectado | Notas |
|---|---|---|
| Apache mod_php | Sí | El mayor riesgo, según PHP |
| PHP-FPM (Nginx y la mayoría del hosting moderno) | Sí | Usar Nginx o FPM no te excluye |
| php-cgi / FastCGI | Sí | |
| FrankenPHP | Sí | |
| LiteSpeed | Sí | |
| Solo línea de comandos | No se indica | El aviso de PHP se refiere a peticiones web; usar PHP solo en la línea de comandos no demuestra que el binario no tenga los fallos, así que actualiza igualmente |
PHP 8.1 y anteriores no reciben versiones nuevas; PHP publicó parches mínimos del código fuente solo para 7.4, 8.0 y 8.1. Las versiones corregidas son:
| Rama | Primera versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 y anteriores | Sin versión nueva; parches oficiales del código fuente para 7.4, 8.0 y 8.1 |
¿Cómo de grave es PHP2Shell?
Crítica. La ejecución remota de código significa que un atacante podría ejecutar comandos con los permisos de tu servidor web: modificar o colocar archivos, leer la configuración (por ejemplo, las contraseñas de la base de datos) e instalar una puerta trasera que sobreviva a la actualización. La investigación describe además una forma de filtrar memoria del proceso. Que un servidor concreto se pueda atacar sigue dependiendo de su versión de PHP, su configuración, la disposición de la memoria y la aplicación.
¿Qué gobiernos han emitido avisos sobre PHP2Shell?
Organismos nacionales de ciberseguridad de Asia, Europa y Norteamérica han advertido sobre la vulnerabilidad PHP2Shell. La mayoría pide a las organizaciones que actualicen de inmediato; varios recomiendan desconectar o aislar los servicios que no se puedan parchear, y algunos recuerdan que PHP también va integrado en productos y dispositivos. En España, INCIBE-CERT la ha calificado de importancia crítica y recuerda que las medidas temporales no son una solución completa.
Todos publicados el 21 de octubre de 2026.
¿Por qué se han desconectado tantas webs por PHP2Shell?
Sobre todo por precaución. Los gobiernos pidieron desconectar los sistemas con PHP que no se pudieran parchear al momento, y muchos lo hicieron. Reuters informó el 21 de octubre de 2026 de que habían desconectado webs o servicios:
- Alemania: el proveedor informático federal ITZBund, que lo calificó de medida «puramente preventiva».
- Francia: webs de prefecturas, a la espera del parche.
- Bélgica: webs del Ministerio de Asuntos Exteriores.
- Países Bajos: el puerto de Róterdam, Overheid.nl, los cinco mayores partidos políticos y muchos hospitales, siguiendo el ejemplo del Centro Nacional de Ciberseguridad.
- Finlandia: servicios web del Gobierno gestionados por Valtori, como «medida de precaución».
- República Checa: la web del Gobierno, por recomendación de su organismo de ciberseguridad.
- Fundación Wikimedia: algunos sistemas, «hasta que puedan parchearse de forma segura».
En Japón, proveedores de hosting como Xserver y Lolipop también suspendieron sus paneles de control por precaución. Que una web esté desconectada o en mantenimiento no significa que la hayan hackeado.
¿Cuántos servidores están expuestos a PHP2Shell?
Las estimaciones varían porque cada escáner cuenta algo distinto. Unit 42 de Palo Alto Networks informó de más de 22,6 millones de instancias expuestas «potencialmente vulnerables», según su propia telemetría, sin definir qué es una instancia. Un servidor que muestra un número de PHP antiguo puede llevar ya un backport del distribuidor, y un mismo servidor puede alojar muchas webs, así que toma cualquier cifra como una escala aproximada, no como un recuento de webs atacables.
¿Se está explotando la vulnerabilidad PHP2Shell?
Se han visto intentos de ataque, pero no se ha confirmado ninguna intrusión con éxito. Cloudflare informó de tráfico de ataque contra sus clientes y de atacantes que cambiaban sus payloads para esquivar sus reglas antes de que se publicara la corrección. Ninguna de las fuentes que hemos revisado a fecha de 22 de octubre de 2026 confirma que alguien haya tomado un servidor a través de PHP2Shell, lo que no significa que nadie lo esté explotando. CISA y el Centro Canadiense de Ciberseguridad dijeron que no habían observado explotación en el momento de publicar sus avisos. Sansec espera una explotación masiva ahora que el parche y los análisis son públicos.
También han aparecido repositorios que dicen contener exploits funcionales. No los hemos verificado y no enlazamos a ellos. No descargues ni ejecutes su código.
¿PHP2Shell afecta igual a todas las webs con PHP?
No. «Al menos un fallo desde PHP 5.4» describe dónde existe el código vulnerable, no demuestra que un mismo ataque funcione contra todas las webs. Las puntuaciones CVSS de ambos fallos califican la complejidad del ataque como alta e indican que deben darse ciertas condiciones, y PHP considera mod_php el caso de mayor riesgo. Por otro lado, Sansec informa de que hay investigadores que han confirmado la ejecución de código contra aplicaciones populares y de que las configuraciones por defecto son vulnerables. Lo prudente es suponer que un PHP sin parchear y expuesto a la web está en riesgo.
¿PHP2Shell es lo mismo que wp2shell?
No. wp2shell es el nombre de otra vulnerabilidad crítica, en el núcleo de WordPress, que se corrige actualizando WordPress. PHP2Shell está en el propio PHP y se corrige actualizando PHP. Los buscadores a veces mezclan los dos nombres, así que fíjate en los números de CVE cuando leas recomendaciones.
¿PHP2Shell afecta a Node.js, Java u otros lenguajes?
No. PHP2Shell es un fallo del intérprete de PHP, así que solo importa donde un servidor ejecuta PHP. Una web hecha con Node.js, Java, Python u otro lenguaje sin PHP no está afectada por estos dos CVE. Los demás entornos publican sus propias correcciones de seguridad, así que mantenlos al día según sus propios avisos, y recuerda que un mismo servidor puede ejecutar más de un lenguaje.
¿Por qué se llama PHP2Shell?
PHP2Shell es el nombre que se usa en el análisis original de Wiz Research. Describe el peor caso: una petición a una web con PHP podría acabar con un atacante ejecutando comandos (una shell) en el servidor. Los títulos oficiales de los avisos son «RCE via OOM corruption» y «RCE via stale global state».
¿Qué hago ahora?
- Comprueba tu PHP con el comprobador PHP2Shell.
- Actualiza siguiendo la guía del parche PHP2Shell.
- Si actualizaste tarde, sigue la guía para saber si han hackeado tu web.
¿Qué fuentes respaldan esta página?
- The PHP Group: RCE via OOM corruption
- The PHP Group: RCE via stale global state
- The PHP Group: aviso de seguridad
- Wiz Research: investigación original
- Cloudflare: protecciones WAF
- Sansec: investigación sobre PHP2Shell
- Rapid7: wp2shell, otra vulnerabilidad del núcleo de WordPress
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- RCE via OOM corruptionOficial The PHP Group
- RCE via stale global stateOficial The PHP Group
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetInvestigación Wiz Research
- Cloudflare deploys protections against php2shell vulnerabilityProveedor de CDN Cloudflare
- PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)Investigación Sansec
- CVE-2026-63030: wp2shell, a critical remote code execution vulnerability in WordPress CoreInvestigación Rapid7
- Critical Vulnerabilities in PHP Require Immediate PatchingOficial CISA
- AL26-026 Critical vulnerabilities impacting PHPOficial Canadian Centre for Cyber Security
- Factbox: Websites taken offline over PHP risksNoticias Reuters (republished by Global Banking & Finance Review)
- Threat brief: CVE-2026-109618 and CVE-2026-109619 (PHP2Shell)Investigación Palo Alto Networks Unit 42