# Ayuda inmediata con PHP2Shell: asistencia ante la vulnerabilidad de PHP

> Ayuda ante la vulnerabilidad de PHP PHP2Shell: revisamos sus servidores, aplicamos los parches, reiniciamos todos los workers y documentamos el estado.

Fuente: https://phpsos.de/es/leistungen/php2shell-soforthilfe/  
Actualizado: 25/10/2026  
Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6

**En resumen:** PHP2Shell son dos vulnerabilidades críticas en el propio PHP que permiten a los atacantes ejecutar código malicioso sin necesidad de autenticarse. Si necesita ayuda rápida con esta vulnerabilidad de PHP, nos encargamos de forma remota del inventario, del parcheo o de una medida provisional, del reinicio de todos los procesos de PHP y de una primera búsqueda de rastros. Al final recibirá un justificante por escrito del estado.

## Ayuda ante la vulnerabilidad de PHP: por qué hay que actuar ahora

El 21/10/2026 a las 16:00 (hora alemana), el proyecto PHP publicó los parches para CVE-2026-109618 y CVE-2026-109619. Ambas vulnerabilidades tienen una puntuación CVSS v4.0 de 9.2 y permiten ejecutar código malicioso de forma remota, sin que nadie tenga que iniciar sesión. Están afectados los modos de ejecución habituales: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.

El BSI (Oficina Federal alemana para la Seguridad de la Información) ha declarado el nivel de alerta 3 (naranja). Recomienda actualizar de inmediato y, si no es posible, desconectar temporalmente de la red los servidores web. Palo Alto Networks (Unit 42) contabilizó más de 22,6 millones de instancias expuestas y potencialmente vulnerables. Según el BSI, al principio no se conocían ataques exitosos de forma generalizada, pero Cloudflare ya informó de intentos de ataque.

Para la dirección y los propietarios esto significa: todo servidor PHP accesible públicamente es un candidato hasta que se demuestre lo contrario. Encontrará una explicación comprensible de la vulnerabilidad en [¿Qué es PHP2Shell?](https://phpsos.de/es/php2shell/was-ist-php2shell/).

## ¿Para quién está pensada la ayuda inmediata con PHP2Shell?

Para empresas, agencias y organismos públicos que operan aplicaciones PHP y que no pueden o no quieren abordar la situación por su cuenta con la profundidad necesaria. Esto incluye servidores root y VPS propios, servidores con Plesk o cPanel, entornos de contenedores y servidores gestionados en los que no está clara la responsabilidad.

También quien tiene un proveedor de hosting suele necesitar apoyo. Muchos proveedores incorporan backports; entonces Plesk, por ejemplo, sigue mostrando 8.2.34 aunque el estado del paquete esté parcheado. A la inversa, puede mostrarse un número de versión nuevo mientras procesos antiguos de PHP siguen en memoria. Qué versiones se consideran corregidas figura en [¿Qué versiones de PHP están afectadas?](https://phpsos.de/es/php2shell/betroffene-php-versionen/).

## ¿Cómo ayuda PHP SOS en concreto?

1. **Inventario:** registramos todas las instalaciones de PHP, los modos de ejecución y las versiones de sus servidores, incluido el estado de los paquetes y los procesos en ejecución. El resultado es una lista de qué sistemas están afectados, corregidos o sin aclarar.
2. **Parche o medida provisional:** cuando es posible, instalamos las versiones corregidas (8.5.12, 8.4.27, 8.3.36, 8.2.35) o los paquetes de su distribución. Si no se puede de inmediato, aplicamos las medidas provisionales de php.net y decimos con franqueza que no ofrecen una protección completa.
3. **Reinicio y control:** reiniciamos todos los workers y procesos de PHP y comprobamos después que no queda ningún proceso antiguo en ejecución. Los archivos nuevos por sí solos no cierran la vulnerabilidad.
4. **Primera búsqueda de rastros:** aseguramos los registros del servidor a partir del 20/10 y buscamos anomalías como archivos PHP nuevos, tareas cron desconocidas o procesos inusuales. Como no hay indicadores de compromiso (IOC) confirmados y publicados, esta revisión se basa en el análisis del comportamiento.
5. **Justificante y siguientes pasos:** recibirá un informe por escrito. Si hay sospecha de compromiso, recomendamos los pasos siguientes adecuados, por ejemplo la [eliminación de malware](https://phpsos.de/es/leistungen/malware-entfernung/) o una investigación forense.

> **Importante:**
> Un parche no elimina el software malicioso ya introducido ni demuestra que antes no hubiera pasado nada. Por eso, la ayuda inmediata siempre incluye una revisión del periodo desde el 17/10/2026.

## Lo que recibe de nosotros

- una vista general de todos los servidores revisados, con versión de PHP, estado del paquete, modo de ejecución y estado del parche
- la documentación de las actualizaciones instaladas o de las medidas provisionales aplicadas
- la prueba de que se han reiniciado todos los procesos de PHP
- una valoración de la búsqueda de rastros, separada en demostrado, probable y desconocido
- una lista de puntos pendientes, por ejemplo sistemas con PHP 8.1 o anterior

Puede entregar este informe a la dirección, a los delegados de protección de datos o a la aseguradora. No incluye la valoración jurídica.

## Lo que necesitamos de usted

- **Acceso:** acceso SSH o al panel con permisos suficientes; alternativamente, una autorización para que su proveedor de hosting pueda informarnos
- **Persona de contacto:** alguien con capacidad de decisión, por ejemplo sobre un breve periodo fuera de línea o un reinicio
- **Visión general:** qué sitios web, tiendas y aplicaciones se ejecutan en qué servidores
- **Ventana de mantenimiento:** sus indicaciones sobre cuándo pueden hacerse los reinicios
- **Copias de seguridad:** información sobre dónde están las copias actuales

Para los administradores que prefieran comprobarlo antes por su cuenta, suele bastar esta consulta inofensiva del estado:

```bash
php -v
# Debian/Ubuntu: paquetes PHP instalados con su versión
dpkg -l | grep -i php
# procesos PHP en ejecución y su hora de inicio
ps -eo pid,lstart,cmd | grep -i php
```

## Lo que no prometemos

No prometemos una seguridad absoluta ni afirmamos que su servidor nunca haya sido atacado si las pruebas no lo respaldan. Trabajamos en el incidente hasta que esté cerrado y documentado. Si existe una obligación de notificación conforme al RGPD o si debe informar a su seguro, aclárelo con los delegados de protección de datos, su abogado o la aseguradora. Nosotros aportamos los hechos técnicos para ello.

Si solo necesita la actualización con justificante, le conviene nuestro [servicio de parcheo de PHP](https://phpsos.de/es/leistungen/php-patch-service/). Si ya hay indicios de un ataque, el mejor punto de partida es la [ayuda de emergencia ante un sitio web hackeado](https://phpsos.de/es/leistungen/website-gehackt-notfallhilfe/).


## Preguntas frecuentes

**¿Basta con que mi proveedor de hosting haya actualizado PHP?**  
Puede bastar si el proveedor confirma por escrito el estado del paquete y se han reiniciado todos los procesos de PHP. El número de versión que se muestra no es una prueba por sí solo, porque las distribuciones incorporan backports. Además, un parche no responde a la pregunta de si el servidor ya había sido atacado antes.

**¿Tiene que quedar mi sitio web fuera de línea para recibir la ayuda inmediata?**  
No necesariamente. El BSI recomienda desconectar temporalmente los servidores web de la red cuando la actualización no sea posible de inmediato. Si en su caso es necesario, lo decidimos juntos tras el inventario.

**¿Protege una actualización de WordPress o de Shopware frente a PHP2Shell?**  
No. PHP2Shell está en el propio PHP, no en el CMS. Actualizar el CMS sigue siendo conveniente, pero no cierra esta vulnerabilidad.

**¿Qué ocurre con PHP 8.1 o anteriores?**  
Para estas versiones el proyecto PHP ya no ofrece actualizaciones oficiales, solo backports mínimos de código fuente para 7.4, 8.0 y 8.1. Protegemos el servidor con medidas provisionales y planificamos con usted el paso a una versión con soporte.

## Fuentes

- [php.net: avisos de seguridad](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Oficina Federal alemana para la Seguridad de la Información](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)