# ¿Qué es PHP2Shell? La vulnerabilidad explicada > PHP2Shell explicado de forma sencilla: qué hay detrás de las dos vulnerabilidades críticas de PHP, qué servidores están afectados y qué pasos dar ahora. Fuente: https://phpsos.de/es/php2shell/was-ist-php2shell/ Actualizado: 25/10/2026 Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6 **En resumen:** PHP2Shell es el nombre de dos vulnerabilidades de seguridad críticas en el propio PHP, CVE-2026-109618 y CVE-2026-109619. A través de ellas, los atacantes pueden ejecutar código malicioso en servidores web vulnerables sin autenticarse. La única solución es actualizar a una versión corregida de PHP y reiniciar después todos los procesos de PHP. ## ¿Qué es PHP2Shell? PHP es el lenguaje de programación sobre el que funciona una gran parte de todos los sitios web: páginas de empresa con WordPress o TYPO3, tiendas online con Shopware o WooCommerce, portales internos y desarrollos propios. El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para dos vulnerabilidades que se han dado a conocer con el nombre de PHP2Shell. Ambas vulnerabilidades tienen una puntuación CVSS v4.0 de 9.2, es decir, son críticas. La consecuencia es la misma en los dos casos: ejecución de código malicioso de forma remota, sin que el atacante tenga que iniciar sesión. Los especialistas hablan de «unauthenticated Remote Code Execution». Quien puede ejecutar código en el servidor puede, en el peor de los casos, leer datos, instalar puertas traseras o utilizar el servidor para otros ataques. Es importante entender que la vulnerabilidad no está en un CMS o un plugin concretos, sino en PHP. Por eso, una actualización de WordPress, Shopware o TYPO3 no la cierra. ## ¿Por qué es tan grave la vulnerabilidad? Tres puntos hacen que PHP2Shell sea especialmente delicada desde el punto de vista de las autoridades de seguridad: - **Amplitud:** están afectados los modos de ejecución habituales de PHP, a saber, PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Palo Alto Networks (Unit 42) contabilizó más de 22,6 millones de instancias expuestas y potencialmente vulnerables. - **No hace falta iniciar sesión:** el atacante no necesita contraseña ni cuenta de usuario. - **Momento temprano:** en Apache con mod_php, según el equipo de PHP, se demostró un exploit antes de que se ejecute siquiera el código de la aplicación. Las funciones de protección dentro del sitio web no actúan entonces. El BSI (Oficina Federal alemana para la Seguridad de la Información) ha declarado el nivel de alerta 3 (naranja). Recomienda actualizar de inmediato y, si no es posible, desconectar temporalmente de la red los servidores web afectados. ## ¿Qué servidores están afectados por PHP2Shell? Las vulnerabilidades están corregidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones anteriores de estas ramas están afectadas. Para PHP 8.1 y anteriores ya no hay actualizaciones oficiales; según la prensa especializada, están afectadas casi todas las versiones hasta PHP 5.4. Encontrará la vista general completa en la página [¿Qué versiones de PHP están afectadas?](https://phpsos.de/es/php2shell/betroffene-php-versionen/). Una particularidad: las distribuciones de Linux y los proveedores de hosting incorporan en ocasiones las correcciones como backport. Entonces Plesk, por ejemplo, sigue mostrando 8.2.34 aunque el fallo esté corregido. Lo determinante son el estado del paquete y la confirmación del proveedor. Cómo comprobarlo se explica en [Comprobar correctamente la versión de PHP y el estado del parche](https://phpsos.de/es/php2shell/php-version-pruefen/). ## ¿Qué está demostrado y qué sigue abierto? **Están demostrados** los dos números CVE, las versiones corregidas y las medidas provisionales que ha publicado php.net. El 23 de octubre se añadió una indicación sobre otra vulnerabilidad, CVE-2026-115560, que solo actúa con una configuración poco habitual. **Es probable** que los atacantes sigan buscando activamente servidores sin parchear. Según informes de los medios, ya se observó un primer intento de ataque el 17 de octubre, es decir, antes de la publicación de los parches. Cloudflare informó de intentos de ataque y desplegó reglas de protección, pero señala que las reglas basadas solo en los datos de la petición no bastan. **Sigue abierto** cuántos servidores han sido atacados ya con éxito. Según el BSI, al principio no se conocían ataques exitosos de forma generalizada. No hay indicadores de compromiso (IOC) confirmados y publicados. Por eso, si un servidor estuvo afectado solo puede valorarse mediante un análisis del comportamiento. El desarrollo temporal se resume en la [cronología del 17 al 25 de octubre](https://phpsos.de/es/ratgeber/php2shell-chronologie/). ## Qué deberían hacer ahora las empresas 1. **Aclarar quién es responsable:** servidor propio, servidor gestionado o proveedor de hosting. 2. **Actualizar PHP** a una versión corregida o a un backport confirmado. 3. **Reiniciar todos los procesos de PHP.** Los archivos nuevos por sí solos no bastan mientras haya procesos antiguos en memoria. 4. **Asegurar los registros,** a partir del 20 de octubre. La prensa especializada aconseja conservar estos datos. 5. **Buscar rastros.** Un parche no elimina el software malicioso ya introducido ni demuestra que antes no hubiera pasado nada. Encontrará indicaciones en la página [¿Ya estoy comprometido?](https://phpsos.de/es/php2shell/bin-ich-gehackt-anzeichen/). > **Importante:** > Una actualización cierra la puerta, pero no limpia. Si su servidor estuvo accesible entre el 17 de octubre y el parche, la búsqueda de rastros es una obligación, no algo opcional. ## ¿Cómo ayuda PHP SOS en concreto? Con la [ayuda inmediata con PHP2Shell](https://phpsos.de/es/leistungen/php2shell-soforthilfe/) asumimos los pasos que muchas empresas no pueden cubrir internamente a corto plazo: - **Inventario:** determinamos la versión de PHP, el modo de ejecución y el estado del paquete de cada servidor afectado. - **Parche o medida transitoria:** instalamos la actualización o, donde todavía no es posible, aplicamos las medidas provisionales de php.net y aclaramos si el servidor debe desconectarse temporalmente de la red. - **Reinicio y justificante:** reiniciamos todos los procesos de PHP y documentamos el estado antes y después. - **Revisión de rastros:** aseguramos los registros a partir del 20 de octubre y buscamos anomalías hasta que el incidente esté cerrado y documentado. ## Preguntas frecuentes **¿Es PHP2Shell una vulnerabilidad de WordPress?** No. Las vulnerabilidades están en PHP, es decir, en el lenguaje de programación sobre el que funcionan WordPress, Shopware, TYPO3 y muchos otros sistemas. Por eso, una actualización del CMS no las cierra. Lo decisivo es la versión de PHP en el servidor. **Como cliente de un proveedor de hosting, ¿tengo que hacer algo yo mismo?** En el hosting compartido, por lo general es el proveedor quien instala la actualización de PHP. Aun así, conviene que le confirme por escrito que la versión de PHP que usted utiliza ha sido parcheada y reiniciada. La actualización no responde a la pregunta de si antes del parche ocurrió algo. **¿De dónde viene el nombre PHP2Shell?** El nombre describe la consecuencia: a través de PHP, en el peor de los casos, un atacante puede obtener en el servidor una línea de comandos, es decir, una shell. Las denominaciones oficiales son los números CVE-2026-109618 y CVE-2026-109619. **¿Ha sido atacado mi sitio web si se ha desconectado de la red?** No necesariamente. Algunos proveedores desconectaron sitios web por precaución, como recomienda el BSI cuando una actualización no es posible de inmediato. Es una medida de protección y no una prueba de un ataque. ## Fuentes - [php.net: avisos de seguridad](https://www.php.net/) - [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php) - [BSI: Oficina Federal alemana para la Seguridad de la Información](https://www.bsi.bund.de/) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)