El 21 de octubre de 2026, el equipo de seguridad de PHP publicó actualizaciones de emergencia para corregir dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell.
Ambas presentan una puntuación CVSS 4.0 de 9,2 y podrían permitir a un atacante ejecutar código de forma remota sin necesidad de autenticación previa.
Aunque ya existen actualizaciones de seguridad, muchas organizaciones pueden encontrarse con dificultades para identificar todos los sistemas afectados, especialmente cuando utilizan aplicaciones heredadas, servicios alojados por terceros o infraestructuras complejas.
¿Qué impacto pueden tener estas vulnerabilidades?
PHP es una tecnología ampliamente utilizada en portales corporativos, gestores de contenidos, plataformas de comercio electrónico y aplicaciones empresariales.
Las vulnerabilidades afectan al propio motor de PHP, por lo que el riesgo no depende exclusivamente de que una aplicación o sus complementos estén actualizados.
Entre los entornos que deben revisarse se encuentran las instalaciones que procesan solicitudes web mediante PHP-FPM, Apache mod_php, php-cgi, FrankenPHP o LiteSpeed. El proyecto PHP señala un mayor riesgo en las configuraciones que utilizan Apache mod_php.
Una explotación exitosa podría comprometer la confidencialidad, integridad o disponibilidad de los servicios afectados.
Esto no significa que todos los sitios web que utilizan PHP estén comprometidos. El nivel de exposición debe determinarse a partir de las versiones instaladas, la configuración del entorno y las correcciones aplicadas.
¿Qué debería revisar tu organización?
-
Identificar los sistemas que utilizan PHP
Revisar servidores web, aplicaciones corporativas, servicios publicados en Internet, contenedores y productos de terceros que puedan incorporar PHP. Es importante incluir los sistemas gestionados por proveedores externos.
-
Comprobar las versiones y actualizaciones de seguridad
El proyecto PHP ha publicado las siguientes versiones corregidas:
Rama PHP Versión corregida PHP 8.2 8.2.35 PHP 8.3 8.3.36 PHP 8.4 8.4.27 PHP 8.5 8.5.12 Las ramas PHP 8.1 y anteriores ya no reciben actualizaciones regulares del proyecto. En estos casos, es necesario consultar las correcciones proporcionadas por el distribuidor o proveedor de soporte, o planificar una migración.
-
Priorizar los sistemas expuestos y críticos
No todos los activos tienen el mismo impacto sobre el negocio. Conviene comenzar por los servicios accesibles desde Internet, las aplicaciones que procesan información sensible y los sistemas cuya indisponibilidad puede afectar a la actividad.
-
Aplicar y verificar las correcciones
Actualizar los componentes afectados y comprobar que las versiones corregidas están realmente en ejecución. Cuando se utilizan paquetes de distribuciones Linux o soluciones de terceros, debe verificarse la corrección publicada por el proveedor, incluso si el número de versión no coincide con el de PHP.
-
Revisar posibles indicios de actividad anómala
Analizar los registros y la actividad de los servicios afectados, prestando especial atención a comportamientos inesperados. La actualización corrige las vulnerabilidades, pero no sustituye una investigación cuando existen indicios de compromiso previo.
¿Qué ocurre si no es posible actualizar inmediatamente?
En determinadas organizaciones, aplicar una actualización puede requerir pruebas de compatibilidad, coordinación con proveedores o ventanas de mantenimiento.
En estas situaciones es importante definir medidas temporales de reducción de exposición y establecer un plan de remediación.
Para sistemas vulnerables accesibles desde Internet que no puedan corregirse de inmediato, las recomendaciones oficiales contemplan su aislamiento de las redes públicas hasta aplicar la solución correspondiente.
¿Cómo puede ayudarte INTEGRA?
La aparición de PHP2Shell plantea una cuestión que va más allá de estas vulnerabilidades concretas: ¿dispone tu organización de visibilidad suficiente sobre sus activos y de capacidad para actuar cuando aparece una vulnerabilidad crítica?
Desde el área de Ciberseguridad de Integra podemos ayudarte a abordar este proceso mediante:
- Diagnóstico de exposición: identificación de los sistemas afectados dentro de un alcance definido y evaluación de su criticidad.
- Plan de remediación: priorización de las actuaciones, identificación de dependencias y definición de medidas correctivas.
- Apoyo en la remediación y validación: coordinación de las correcciones y comprobación posterior, según las necesidades del entorno.
- Mejora de la gestión de vulnerabilidades: revisión de los procesos de identificación, priorización y seguimiento para reducir la exposición ante futuras amenazas.
¿Sabes si todos tus sistemas PHP están correctamente actualizados?
Si tu organización necesita revisar su exposición o tiene dificultades para corregir determinados sistemas, podemos ayudarte a valorar la situación y definir los siguientes pasos.