Tabla de contenidos
Dos vulnerabilidades críticas a PHP, bautizadas como PHP2Shell, permiten tomar el control de un servidor Web sin necesidad de usuario ni contraseña. Si tu empresa tiene web, te toca revisarla.
Este miércoles, 21 de octubre, el proyecto PHP publicó actualizaciones urgentes para corregir dos vulnerabilidades críticas. No es un problema menor: PHP es el lenguaje con el que funcionan la mayoría de páginas web del mundo, desde las hechas con WordPress hasta tiendas online con PrestaShop o Magento, intranets y ERPs web. Según datos de W3Techs, lo utiliza el 70,5% de los sitios web de los que se tiene información.
Esto significa que millones de webs, también muchas pymes de nuestro entorno, podrían estar expuestas si no se actualizan.
Desde el SOC de Infordisa emitimos la alerta el mismo día de la publicación, con todos los detalles técnicos: PHP2Shell, ejecución remota de código en PHP.
¿Qué es PHP2Shell?
PHP2Shell es el nombre con el que se conocen dos vulnerabilidades, identificadas como CVE-2026-109618 i CVE-2026-109619. Ambas permiten el’ejecución remota de código sin autenticación: dicho llanamente, un atacante podría ejecutar órdenes en el servidor donde está la web sin tener que iniciar sesión en ninguna parte.
La gravedad es máxima:
- El sistema internacional de puntuación CVSS las califica con un 9,2 sobre 10 (crítica).
- El INCIBE-CERT las ha clasificado con una importancia de 5 sobre 5.
- Los detalles de las vulnerabilidades se van filtrar en internet el 20 de octubre, antes de que hubiera parche disponible.
- Cloudflare ya ha detectado los primeros intentos de explotación.
- Palo Alto Networks ha contabilizado más de 22,6 millones de instancias expuestas potencialmente vulnerables.
¿Por qué es tan grave?
Quien aproveche estas vulnerabilidades podría modificar el contenido de una web, instalar código malicioso o acceder a las bases de datos que hay detrás: datos de clientes, pedidos, formularios de contacto o transacciones.
La reacción internacional da la medida del problema. El Ministerio para la Transformación Digital ha pedido a entidades públicas y privadas que actualicen enseguida, y organismos como el CERT-EU o el Centro Nacional de Ciberseguridad del Reino Unido han emitido similares avisos. En Bélgica y Países Bajos, administraciones y empresas han llegado a desconectar webs de forma preventiva hasta poder protegerlas.
¿Qué versiones de PHP están afectadas?
El equipo de PHP indica que todas las versiones podrían estar afectadas. La situación de cada rama es ésta:
- PHP 8.2, 8.3, 8.4 y 8.5: tienen versión corregida (8.2.35, 8.3.36, 8.4.27 y 8.5.12). Es necesario asegurarse de que se ha actualizado.
- PHP 7.4, 8.0 y 8.1: ya no tienen apoyo oficial, pero dada la gravedad se han publicado parches mínimos, y muchos proveedores de alojamiento les han aplicado. Sin embargo, son versiones obsoletas y conviene planificar su migración.
- PHP 5.6, 7.0, 7.1, 7.2 y 7.3: no disponen de ningún parche de seguridad. Si tu web todavía funciona con alguna de estas versiones, la actualización es urgente.
¿Qué debes hacer?
- Comprueba qué versión de PHP utiliza tu web. Normalmente lo puedes ver en el panel de control de tu alojamiento, en un apartado similar a Servidor > PHP.
- Actualiza a la versión más reciente compatible, preferiblemente PHP 8.4 o 8.5.
- Antes de cambiar, revisa la compatibilidad de la web, el CMS, el tema y los plugins con la versión escogida, y realiza una copia de seguridad. Un cambio de versión sin probar puede dejar la web sin funcionar.
- Si tienes servidor propio, aplica las actualizaciones de tu distribución. Si es un alojamiento compartido, confirma con el proveedor que ha aplicado el parche.
- Si usted no puede actualizar inmediatamente, aplica las mitigaciones temporales que detallamos en la alerta del SOC y, como último recurso, valora desconectar la web hasta que esté protegida.
- Revisa si existen indicios de intrusión en webs que hayan estado expuestas sin actualizar.
No estás solo
Mantener PHP al día no es sólo una cuestión técnica: es una de las bases de seguridad de cualquier web. Si no sabes qué versión utiliza tu página, si tienes dudas sobre la compatibilidad o quieres que revisemos tu exposición, en INFORDISA te ayudamos. Existimos para ayudarle.
¿Quieres recibir alertas de seguridad como esta en tu correo?
Suscríbete al Servicio de avisos del SOC de INFORDISA.
Fuentes: Alerta SOC Infordisa · 3CatInfo · Aviso de seguridad oficial de PHP · INCIBE-CIERTO · W3Techs
