¿Tu web usa PHP? Hoy puede ser atacada: qué hacer ya

Se llaman PHP2Shell: CVE-2026-109618 y CVE-2026-109619, ambas con CVSS v4.0 9.2 (crítica). Permiten que un atacante sin credenciales ejecute código en el servidor con una petición HTTP, en instalaciones de PHP por defecto. No hace falta que tu aplicación tenga ningún fallo: el problema está en PHP, antes de que se ejecute tu código.

Por qué esta vez es grave

• Los detalles se filtraron antes del parche. PHP tuvo que adelantar el aviso al 20 de octubre y la publicación al 21.
• Ya se está explotando. Cloudflare detectó los primeros ataques a las 07:43 UTC del 21 de octubre, y Aikido confirmó explotación real esa misma mañana. Hay pruebas de concepto públicas circulando.
• Afecta a casi todo. Según Sansec y Flare, todas las versiones desde PHP 5.4. Eso incluye WordPress, WooCommerce, Magento, Shopware, Laravel, Drupal, PrestaShop y cualquier web o panel en PHP.
• Los ataques masivos llegan en minutos. Sansec espera escaneos automatizados en menos de 15 minutos tras la publicación del parche, cuando el código corregido revele exactamente dónde está el fallo.
• Hay organizaciones apagando servicios. En Países Bajos, Tweakers, la Tweede Kamer y el NCSC desconectaron webs por precaución.

¿Está afectado tu servidor?

Estar en "una versión moderna" no te protege. Hasta hoy a las 16:00 no existe ninguna versión de PHP corregida.

Qué hacer hoy, en este orden

1. Haz inventario ya. Lista todos los servidores, hostings y contenedores con PHP accesible desde internet, incluidos paneles de administración olvidados y webs antiguas.
2. Mitiga antes de las 16:00. No esperes al parche: bloquea las peticiones multipart/form-data en nginx o Apache, desactiva session.upload_progress y, si usas Cloudflare, cierra el acceso directo a tu servidor de origen. Lo explicamos paso a paso, con la configuración lista para copiar, en PHP2Shell: cómo mitigarlo sin parche.
3. Apaga lo que no sea imprescindible. Una web corporativa caída unas horas cuesta menos que un servidor comprometido.
4. Actualiza en cuanto salga el parche. Instala la nueva versión de tu rama (o el paquete de tu distribución en cuanto lo publique) y reinicia PHP-FPM o Apache: sin reinicio sigue corriendo el binario vulnerable.
5. Si estás en 8.1 o anterior, planifica la migración a 8.2+ hoy mismo y mantén las mitigaciones o el aislamiento hasta completarla.
6. Revisa si ya te han entrado. Busca ficheros PHP nuevos o modificados, web shells, usuarios administradores nuevos y conexiones salientes extrañas.

¿Usas hosting compartido? Escribe hoy a tu proveedor y pregunta qué versión de PHP te sirve y cuándo aplicará el parche. No des por hecho que lo hará solo.

Preguntas frecuentes

---

Fuentes:

• PHP: aviso de la próxima versión de seguridad
• Sansec: Critical PHP RCE (CVE-2026-109618 y 109619)
• Aikido: PHP2Shell
• Flare: qué hicimos y qué deberías hacer

Artículos relacionados:

• PHP2Shell (CVE-2026-109618): cómo mitigarlo sin parche

---