Si tu web corre en PHP, este es el parche que no puedes postergar.
El 21 de octubre se publicaron dos vulnerabilidades críticas en el núcleo de PHP, bautizadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Permiten a un atacante ejecutar código en tu servidor sin contraseña, solo enviando peticiones web.
Lo que hay que saber
- Gravedad 9.2 sobre 10. Afectan prácticamente a toda instalación de PHP que atiende tráfico web: Apache con mod_php, PHP-FPM, php-cgi, LiteSpeed y FrankenPHP.
- Ya se están explotando. Hubo intentos de ataque desde el 17 de octubre, cuatro días antes del anuncio público. La CISA (agencia de ciberseguridad de EE. UU.) las incluyó en su catálogo de vulnerabilidades explotadas activamente.
- Más de 22 millones de servidores expuestos en internet, según Palo Alto Networks.
- Los atajos no protegen. Desactivar opciones de configuración no cierra el problema. La única solución real es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o a una versión posterior.
¿Por qué te importa aunque no programes en PHP?
Porque WordPress, WooCommerce, Moodle, Magento, Laravel y muchísimos sistemas de facturación y portales corren sobre PHP. Tu web corporativa, tu tienda en línea o tu intranet pueden estar expuestas sin que nadie en tu empresa lo sepa.
Qué hacer hoy
- Haz un inventario de todos tus servidores y aplicaciones con PHP, incluidos los que administra tu proveedor de hosting.
- Actualiza PHP a una versión corregida y reinicia los servicios.
- Revisa los registros desde el 17 de octubre en busca de actividad sospechosa.
- Si un servidor no se puede parchear de inmediato, aíslalo o restringe su acceso.
Cómo te ayuda MYR Consulting
- Diagnóstico de exposición: identificamos qué sistemas usan PHP vulnerable.
- Parcheo y endurecimiento de servidores, sin afectar la operación.
- Revisión de indicios de compromiso.
- Programas integrales de ciberseguridad: con uno de nuestros clientes industriales logramos cero brechas de seguridad y 85 % menos vulnerabilidades.
Agenda una consultoría gratuita de 30 minutos