En resumen: La vulnerabilidad de PHP explicada de forma sencilla: PHP es el software del servidor web que construye los sitios web en el momento en que alguien los abre. En PHP2Shell, en determinados casos excepcionales PHP no limpia correctamente, y justo eso pueden aprovecharlo los atacantes para ejecutar sus propios comandos en el servidor sin contraseña. La solución es una actualización de PHP con el reinicio posterior, que por lo general aplica su proveedor de alojamiento o de servicios.
Por qué todo el mundo habla ahora de PHP
En las noticias se hablaba de una «vulnerabilidad crítica de seguridad», las autoridades desconectaban sitios web y el BSI (Oficina Federal alemana para la Seguridad de la Información) alertaba con el nivel naranja. Para muchos propietarios y empleados esto suena amenazador y a la vez incomprensible. ¿Qué es PHP y por qué afecta justo al sitio web de la propia empresa?
Este artículo explica la situación sin jerga. Quien después quiera profundizar encontrará la valoración técnica en ¿Qué es PHP2Shell?.
Qué hace realmente PHP: una imagen cotidiana
Imagine su sitio web como un restaurante. El comensal es el visitante, el pedido es la apertura de la página. PHP es la cocina: recibe cada pedido, saca los ingredientes del almacén, es decir, de la base de datos, y prepara el plato, es decir, la página terminada.
Para que sea rápido, la cocina tiene varios cocineros que despachan uno tras otro muchos pedidos. Los especialistas los llaman «workers». Después de cada pedido, el puesto de trabajo debe quedar completamente recogido antes de que llegue el siguiente.
En PHP funcionan muchísimos sistemas conocidos: WordPress, Shopware, TYPO3, Joomla, Nextcloud e innumerables desarrollos propios. Cómo funciona PHP en general lo explica el artículo ¿Qué es PHP?.
La vulnerabilidad de PHP explicada: qué falla en PHP2Shell
PHP2Shell consta de dos fallos. Ambos tienen que ver con recoger y limpiar, y ambos solo aparecen en situaciones excepcionales.
El primer fallo (CVE-2026-109618): a veces a la cocina se le acaba el espacio en plena preparación. Los especialistas dicen «Out of Memory»: la memoria está llena. Entonces el trabajo se interrumpe cuando el pedido solo está preparado a medias. Al recoger después, PHP toma por error por terminadas cosas inacabadas.
El segundo fallo (CVE-2026-109619): tras un pedido, queda en el puesto de trabajo algo que en realidad ya debería haberse retirado. El siguiente pedido del mismo cocinero puede acceder a ello antes de que se retire.
En ambos casos vale lo mismo: quien sabe exactamente cómo provocar esa situación excepcional puede hacer que la cocina haga cosas que nunca se pidieron. En el peor de los casos, toma el control del servidor. No necesita contraseña para ello. Cómo procesa PHP una petición paso a paso lo describe el artículo sobre el ciclo de vida de una petición.
No necesita entender la técnica para actuar bien. Lo decisivo es una única pregunta a su proveedor de alojamiento o de servicios: ¿está PHP actualizado y reiniciado en nuestro servidor, y pueden confirmárnoslo por escrito?
Los términos más importantes de un vistazo
| Término | Explicado de forma sencilla |
|---|---|
| PHP | software del servidor que construye las páginas web cuando se abren |
| Vulnerabilidad de seguridad | un fallo que desconocidos pueden aprovechar |
| Número CVE | número de identificación único en todo el mundo de una vulnerabilidad |
| CVSS 9,2 | gravedad en una escala hasta 10; 9,2 se considera crítica |
| Remote Code Execution | desconocidos pueden ejecutar sus propios comandos en el servidor a distancia |
| Shell | línea de comandos con la que se puede controlar un servidor |
| Parche | actualización que corrige el fallo |
| Backport | corrección incorporada a una versión más antigua sin cambiar el número de versión |
| Reinicio | cerrar los procesos antiguos de PHP para que la versión corregida funcione de verdad |
Por qué actualización, reinicio y revisión van juntos
Sigamos con el restaurante. La actualización es una nueva instrucción de trabajo para la cocina: a partir de ahora se recoge así. Pero los cocineros que están ahora en el turno siguen trabajando con la instrucción antigua. Solo cuando cambia el turno rige la nueva. Eso es precisamente el reinicio: se cierran todos los procesos antiguos de PHP y los nuevos arrancan con la versión corregida. Sin reinicio, la actualización está en el servidor, pero no surte efecto.
Y la imagen muestra algo más. Una nueva instrucción de trabajo evita averías futuras, pero no dice nada sobre si en los días anteriores alguien estuvo en la cocina sin ser notado y escondió algo. Por eso, tras la actualización hay que hacer una búsqueda de indicios, sobre todo si el servidor fue accesible entre el 17 de octubre y la actualización.
Qué debe hacer ahora: tres situaciones de partida típicas
Lo que hay que hacer depende de dónde esté su sitio web.
- Su sitio web está en un proveedor de alojamiento (alojamiento compartido). El proveedor suele aplicar la actualización de PHP. Su tarea: obtener una confirmación por escrito y comprobar en el menú de cliente si está configurada una versión de PHP actual. Qué más le corresponde a usted figura en Alojamiento compartido: qué hace el proveedor y qué debe hacer usted.
- Una agencia o un proveedor de servicios informáticos atiende su sitio web. Pregunte allí si se ha aplicado la actualización y se ha reiniciado PHP, y pida una breve revisión de posibles anomalías.
- Tiene un servidor propio. Entonces la responsabilidad es suya o de su TI: actualizar PHP, reiniciar todos los procesos de PHP, conservar los registros desde el 20 de octubre y buscar indicios.
En los tres casos vale: una actualización de WordPress o de otro sistema del sitio web no cierra la vulnerabilidad. Y una actualización no demuestra que antes no haya pasado nada.
¿Cómo ayuda PHP SOS en concreto?
- Explicar con claridad: le decimos con palabras claras si sus sistemas están afectados y cómo.
- Hablar con el proveedor de alojamiento: si lo desea, aclaramos el nivel de parcheo directamente con su proveedor de alojamiento o de servicios.
- Actualizar y revisar: en servidores propios aplicamos la actualización, reiniciamos PHP y buscamos indicios.
- Dejarlo por escrito: usted recibe una breve documentación del estado.
Más información en la ayuda inmediata ante PHP2Shell.
Conclusión
PHP2Shell suena complicado, pero en el fondo la situación no lo es: la cocina de su sitio web no recoge bien en casos excepcionales, y eso se puede aprovechar. La actualización lo repara. Su tarea es asegurarse de que esté aplicada, activada y acreditada y, en caso de duda, hacer comprobar si antes alguien estuvo en la cocina.
Preguntas frecuentes
¿Qué es PHP en palabras sencillas?
PHP es un lenguaje de programación que trabaja en el servidor web. Cuando usted abre una página, PHP la construye en ese momento, por ejemplo con los productos y precios actuales o con su carrito de la compra, y la envía a su navegador.
¿Está afectado mi sitio web si uso WordPress?
WordPress funciona con PHP, por lo que el servidor que hay debajo puede estar afectado. Que su sitio web esté en peligro depende del estado de PHP en el servidor, no de la versión de WordPress. Pregunte a su proveedor de alojamiento o de servicios por la actualización de PHP.
¿Puedo estar en peligro como visitante de un sitio web?
La vulnerabilidad afecta a los servidores, no a los ordenadores de los visitantes. Pero si se toma el control de un servidor, los atacantes podrían, por ejemplo, modificar contenidos o redirigir a los visitantes a páginas ajenas. Por eso la actualización es importante para los administradores.
¿Qué significa el nombre PHP2Shell?
Describe la posible consecuencia: a través de PHP, un atacante puede, en el peor de los casos, obtener una shell, es decir, una especie de control remoto del servidor. Las denominaciones oficiales son CVE-2026-109618 y CVE-2026-109619.