PHP lanza parches el 21 de octubre por fallo RCE con riesgo de 9.2
- Dos vulnerabilidades críticas (puntuación 9.2 CVSS) permiten a atacantes ejecutar código en servidores PHP sin necesidad de iniciar sesión.
- El riesgo es máximo para servidores Apache que utilizan mod_php, donde el ataque puede ocurrir antes de que se ejecute el código de la web.
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; las versiones 8.1 y anteriores ya no tienen soporte oficial.
- El CERT-EU recomienda desconectar temporalmente los sistemas que no puedan ser parcheados de inmediato para evitar intrusiones.
La infraestructura de la web global ha enfrentado una de sus horas más tensas en los últimos años. El pasado 21 de octubre de 2026, el equipo de seguridad de PHP lanzó parches de emergencia para neutralizar dos vulnerabilidades críticas que permiten la ejecución remota de código (RCE) sin requerir autenticación. Este fallo, identificado bajo el nombre de PHP2Shell y con una puntuación de riesgo de 9.2 sobre 10 en la escala CVSS 4.0, abre la puerta a que cualquier actor malintencionado tome el control total de un servidor web.
El mecanismo del ataque y el riesgo de ejecución remota
La gravedad de estas brechas reside en que el atacante no necesita credenciales ni acceso previo al sistema. Según los datos técnicos, uno de los fallos (CVE-2026-109618) se produce mediante una corrupción por falta de memoria. En situaciones donde el sistema se queda sin recursos, PHP puede interrumpir un proceso mientras los datos internos de una solicitud se han iniciado solo parcialmente. El problema surge cuando el proceso de limpieza posterior trata esos datos incompletos como si fueran válidos, permitiendo la inyección y ejecución de código malicioso.
El peligro es omnipresente porque PHP es el motor que impulsa una cantidad ingente de software. No se trata solo de gestores de contenido, sino de paneles de control, plataformas de alojamiento compartido y aplicaciones empresariales que a menudo ni siquiera declaran públicamente el uso de este lenguaje. RedesZone ha advertido que cualquier instalación que procese solicitudes web, incluyendo PHP-FPM, php-cgi, FrankenPHP y LiteSpeed, se encuentra en la línea de fuego.
Apache y mod_php: el punto de máxima vulnerabilidad
Aunque todas las instalaciones están en riesgo, existe un escenario particularmente peligroso. Los servidores Apache que utilizan mod_php, que ejecuta PHP directamente dentro del servidor web, enfrentan la mayor amenaza. Se ha demostrado que existe un exploit capaz de desencadenar el ataque antes incluso de que el código de la aplicación web comience a ejecutarse.
Esto significa que las capas de seguridad implementadas a nivel de aplicación —como plugins de seguridad o validaciones internas del código de la web— son totalmente irrelevantes en este caso. El ataque ocurre en una capa inferior, en el núcleo del lenguaje, haciendo que el servidor sea vulnerable independientemente de lo bien programada que esté la página web.
El impacto directo en el ecosistema WordPress
Para los emprendedores y dueños de negocios que utilizan WordPress, la confusión es común: muchos creen que actualizar el CMS o sus plugins soluciona el problema. Sin embargo, WordPress es el software que corre sobre PHP. Actualizar WordPress no actualiza la versión de PHP instalada en el servidor.
La comunidad de WordPress ha sido clara al señalar que no se requiere ninguna actualización del núcleo del CMS, ya que el fallo no reside en WordPress, sino en el entorno de ejecución. Los propietarios de sitios deben verificar su versión actual en la sección de Salud del Sitio (Herramientas > Salud del Sitio > Información > Servidor) y contactar urgentemente con su proveedor de hosting para asegurar que el parche ha sido aplicado.
Donde la remediación inmediata no sea factible, las organizaciones deben considerar desconectar el sistema hasta que pueda ser mitigado completamente.
Medidas de mitigación y el problema del fin de vida (EOL)
La única solución definitiva es la actualización a las versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El equipo de PHP ha enfatizado que los firewalls de aplicaciones web (WAF) o los cambios de configuración son solo medidas temporales y no sustituyen el parcheo del núcleo.
El escenario se complica para quienes mantienen sistemas obsoletos. Las versiones PHP 8.1 y anteriores han alcanzado su fin de vida (End-of-Life) y no reciben actualizaciones oficiales regulares. Aunque se han proporcionado correcciones limitadas de código fuente para las versiones 7.4, 8.0 y 8.1 para aquellos que compilan su propio PHP, la recomendación general es la migración inmediata. En Europa, la respuesta ha sido drástica: el CERT-EU ha sugerido la desactivación temporal de webs gubernamentales y empresariales que no puedan actualizarse rápidamente, una medida preventiva que ya provocó la caída de servicios en Finlandia y los Países Bajos.
Acciones urgentes para administradores de sistemas
Ante la detección de los primeros ataques confirmados por firmas como Cloudflare, la ventana de tiempo para reaccionar es mínima. Los administradores deben seguir un protocolo estricto para evitar el compromiso de sus datos y los de sus clientes.
El proceso de remediación debe centrarse en la comunicación directa con el hosting. Si el usuario tiene acceso a cPanel o paneles similares, debe confirmar que la versión de PHP seleccionada sea una de las parcheadas. En casos de servidores autogestionados, la descarga de las versiones corregidas desde el sitio oficial es obligatoria, a pesar de que la saturación de las CDN debido al tráfico masivo haya causado caídas temporales en la web de PHP.
Implicaciones para el tejido empresarial en España
Para las empresas españolas, este incidente pone de relieve una vulnerabilidad estructural: la dependencia de infraestructuras heredadas (legacy) y la falta de una cultura de mantenimiento preventivo. En un contexto donde la Agenda Digital Española impulsa la transformación tecnológica de las PYMES, el hecho de que miles de webs sigan operando en versiones de PHP obsoletas representa un riesgo sistémico.
Desde la perspectiva regulatoria, este fallo intersecta con las exigencias de seguridad del AI Act y el marco general de protección de datos. Una brecha de seguridad de este calibre, que permite la ejecución remota de código, podría derivar en filtraciones masivas de datos personales, exponiendo a las empresas a sanciones severas si se demuestra que no aplicaron parches críticos disponibles. Para el empresario local, la lección es clara: la seguridad no es un producto que se compra una vez, sino un proceso continuo de actualización. La digitalización sin mantenimiento es, en realidad, una creación de riesgos.
Además, el tejido empresarial español, compuesto mayoritariamente por pequeñas empresas que delegan la gestión técnica en agencias externas, debe exigir auditorías de versión. No basta con que la web funcione; es imperativo que el entorno que la sostiene sea seguro. La recomendación del CERT-EU de desconectar sitios no seguros es una medida extrema, pero necesaria para evitar que la infraestructura digital española se convierta en un campo de juegos para el cibercrimen.
Preguntas frecuentes
¿Mi web de WordPress está afectada si ya he actualizado los plugins?
Sí, es posible. El fallo está en PHP, el lenguaje que hace funcionar a WordPress, no en el CMS mismo. Debe actualizar la versión de PHP en su servidor, no los plugins.
¿Qué es exactamente la ejecución remota de código (RCE)?
Es una vulnerabilidad que permite a un atacante enviar comandos maliciosos al servidor y ejecutarlos, pudiendo robar datos, borrar archivos o tomar el control total del sitio sin necesidad de contraseña.
¿Qué debo hacer si mi hosting usa una versión de PHP antigua (como la 7.4 o 8.1)?
Estas versiones ya no tienen soporte oficial. Debe solicitar a su proveedor la migración a una versión soportada (8.2 o superior) y parcheada inmediatamente.
¿Es suficiente con tener un firewall o un plugin de seguridad?
No. PHP ha advertido que los firewalls son mitigaciones temporales y no sustituyen la actualización del núcleo, especialmente en servidores Apache con mod_php.
Fuentes: Searchenginejournal, Wordpress, Socprime ·
glacom · Adopt glacom: el software que ya nadie mantiene, nos hacemos cargo nosotros →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
