PHP2Shell (CVE-2026-109618 y CVE-2026-109619): qué es y cómo proteger tu web

El 21 de octubre de 2026, el equipo de PHP publicó un parche para dos vulnerabilidades críticas en el core de PHP, el lenguaje que corre detrás de la gran mayoría de los sitios web del mundo. Se las conoce como PHP2Shell y, a diferencia de otras fallas, no dependen de WordPress, Laravel ni de tu CMS: el problema está en PHP mismo. Si tu sitio corre una versión sin actualizar, puede estar expuesto.

Qué es PHP2Shell y por qué importa

Son dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, con severidad crítica (CVSS 9.8 en la escala 3.1 y 9.2 en la 4.0). Permiten que un atacante, sin autenticarse, ejecute código en el servidor y lea memoria del proceso, donde pueden vivir contraseñas, tokens y claves de API. Fueron descubiertas por Wiz Research con ayuda de inteligencia artificial y afectan a versiones de PHP publicadas durante la última década.

¿Tu web está en riesgo?

Están afectadas las versiones anteriores a 8.2.35, las 8.3.x anteriores a 8.3.36, las 8.4.x anteriores a 8.4.27 y las 8.5.x anteriores a 8.5.12. La buena noticia: ya hay versión corregida para cada rama. La mala: si tu hosting o tu servidor no se actualiza, el riesgo sigue.

¿Cómo saber qué versión usás? Si administrás el servidor, ejecutá php -v. Si tu sitio está en un hosting, revisá el panel de control o preguntá directamente a tu proveedor. No publiques un archivo phpinfo() abierto en producción: expone información sensible.

Qué hacer ahora

1. Actualizá PHP. Es la única mitigación completa. Las versiones seguras son 8.2.35, 8.3.36, 8.4.27 y 8.5.12 (o superiores). Coordiná la actualización con tu hosting o tu equipo técnico y probá el sitio después.

2. Si no podés actualizar de inmediato, aplicá las mitigaciones temporales que recomiendan los avisos oficiales: desactivar session.upload_progress.enabled, desactivar fatal_error_backtraces en PHP 8.5, revisar memory_limit, acotar post_max_size y bloquear requests multipart que tu sitio no necesite. Son parches parciales, no reemplazan la actualización.

3. Sumá una capa de protección perimetral. Cloudflare, AWS, Google Cloud y otros proveedores publicaron reglas de WAF para bloquear intentos de explotación. Útil como red de seguridad mientras actualizás.

4. Revisá y rotá credenciales si tu sitio estuvo expuesto con una versión vulnerable: contraseñas de base de datos, claves de API, tokens de pago y accesos de administración. La falla también permite lectura de memoria.

Qué significa para WordPress, Laravel y tiendas online

Aunque se demostró explotación contra WordPress, Drupal y Joomla, el problema no se arregla actualizando el CMS: hay que actualizar PHP. En un ecommerce el impacto es especialmente sensible, porque en memoria pueden quedar credenciales de medios de pago, sesiones de clientes y claves de integraciones. Si tu tienda corre sobre una versión afectada, la prioridad es actualizar hoy.

Checklist para PyMEs

• Averiguá qué versión de PHP usa tu sitio. 
• Si está afectada, coordiná la actualización con tu hosting o equipo técnico. 
• Si no podés actualizar ya, aplicá las mitigaciones temporales y activá el WAF. 
• Revisá logs por errores 500 repetidos y requests multipart extraños. 
• Rotá credenciales sensibles si hubo exposición. 
• Verificá que el sitio siga funcionando después del cambio. 
• Agendá una revisión periódica de versiones y parches.

Conclusión

PHP2Shell es de esas fallas que no conviene mirar desde afuera. La diferencia entre un susto y un incidente serio es haber actualizado a tiempo. Si no sabés por dónde empezar, mejor no improvisar sobre producción.

¿Querés que revisemos la versión de PHP de tu web y la actualicemos? En Codit Digital hacemos la auditoría, el parcheo y el acompañamiento posterior. Contanos tu caso 👉 Hablemos o conocé nuestro Soporte Continuo.

Última actualización: 22/10/2026. Este contenido es informativo y se basa en los avisos oficiales de PHP, GitHub Security Advisories y Wiz Research. No incluye detalles de explotación. Fuentes: PHP, GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp y Wiz Research.