Steven Lafortune
David GrandolfoEl 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de emergencia para dos vulnerabilidades críticas, agrupadas bajo el nombre PHP2Shell. Pueden permitir que alguien que no ha iniciado sesión ejecute código en un servidor que usa PHP para responder a peticiones web. Wiz Research, que notificó los fallos junto con Calif y OpenAI, estima que PHP impulsa cerca del 70 % de los sitios web, incluidos WordPress, Joomla, Drupal y MediaWiki.
David Grandolfo, coordinador de seguridad defensiva, tiene un mensaje directo para los clientes de Devolutions: nuestros productos SaaS no se ven afectados por PHP2Shell.
Entendemos que las noticias sobre vulnerabilidades críticas pueden generar preocupación, sobre todo cuando afectan a tecnologías que usan millones de sitios web en todo el mundo. Tenemos, sin embargo, una buena noticia para los clientes de Devolutions: nuestros productos y servicios no se ven afectados por PHP2Shell.
La razón es sencilla: no usamos PHP en nuestros productos ni en nuestra infraestructura, así que estas vulnerabilidades concretas no afectan a las soluciones de Devolutions.
Nuestro equipo de seguridad vigila de forma continua las amenazas emergentes y evalúa su posible efecto en nuestros productos y servicios. En este caso, los clientes pueden estar tranquilos: no hace falta ninguna actualización adicional, ningún cambio de configuración ni ninguna acción por su parte para abordar PHP2Shell.
Las organizaciones que usan PHP deben aplicar las actualizaciones de seguridad disponibles lo antes posible. Los clientes de Devolutions pueden seguir usando nuestras soluciones con confianza.
Qué es PHP2Shell
Los dos fallos son CVE-2026-109618 y CVE-2026-109619. El aviso de seguridad de PHP indica que ambos pueden permitir la ejecución remota de código sin autenticación. Afectan a las instalaciones de PHP que atienden peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de seguridad de PHP señala que el riesgo es mayor con mod_php, donde una petición puede llegar al fallo antes de que se ejecute el código de la propia aplicación del sitio.
Google Cloud describe la puntuación base oficial CVSS como 9,2 (crítica) para cada fallo, y enumera las versiones afectadas desde PHP 5.4 hasta 8.5.11. Wiz informa del mismo intervalo: casi todas las versiones de PHP de la última década están afectadas por al menos uno de los problemas. Los errores están en el motor de PHP, así que una aplicación cuidadosa sobre un entorno de ejecución sin parche sigue expuesta. Wiz añade que el código vulnerable llevaba más de una década en PHP, y que las herramientas de IA hicieron viable demostrar los errores y ayudar a corregirlos.
BleepingComputer informa de que Cloudflare ya veía intentos de ataque tempranos cuando salían los parches, y de que un filtrado temporal no sustituye a la actualización. El mismo reportaje recoge un aviso del National Cyber Security Centre del Reino Unido: actualice los sistemas que usan PHP, o desconéctelos hasta que puedan parchearse.
Qué instalar
El proyecto PHP indica que no hay mitigaciones completas. Actualizar es la única opción segura. Instale una de estas versiones:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las distribuciones Linux y los proveedores de soporte a largo plazo recibieron los parches antes de la publicación pública, así que consulte a su proveedor para obtener los paquetes actualizados. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto PHP. Algunos proveedores están retroportando las correcciones. Si usa esas versiones, contacte con su proveedor o pase a una versión con soporte. Para quienes compilan desde el código fuente, el equipo de seguridad de PHP también publicó retroportaciones mínimas del código fuente para PHP 7.4, PHP 8.0 y PHP 8.1.
El aviso describe unas medidas temporales para los equipos que no pueden actualizar hoy. PHP es explícito: esas medidas no hacen que una instalación sea segura.
Si administra PHP usted mismo
Los productos y servicios de Devolutions no usan PHP, así que nada cambia en ese lado. Este aviso no cubre un sitio PHP que usted administre: un sitio web público, una intranet o un sistema de gestión de contenidos. Si eso está en su entorno, trátelo como un trabajo aparte y actualice PHP a una versión de la lista anterior.