Vulnerabilidad de PHP (PHP2Shell), qué es y qué significa para ti

MacWindowsiPhoneAndroidActualizado

PHP2Shell es el nombre que se da a dos fallos de seguridad críticos en PHP, CVE-2026-109618 y CVE-2026-109619, que el proyecto PHP corrigió el 21 de octubre de 2026. PHP es un lenguaje de programación con el que funcionan muchísimas webs. INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, lo calificó con importancia crítica. Esta guía está actualizada a 23 de octubre de 2026.

Respuesta rápida

PHP2Shell son dos fallos críticos en PHP, el lenguaje de muchas webs. Están corregidos en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. Si tienes una web, comprueba y actualiza su versión de PHP. Si tienes un NAS o un router, consulta el aviso del fabricante. Si solo visitas webs, la solución corresponde al dueño del sitio.

¿Qué es PHP2Shell?

Son dos errores distintos en el propio PHP, anunciados a la vez. El aviso del proyecto PHP los describe como fallos de ejecución remota de código: alguien podría hacer que un servidor ejecute sus propias instrucciones. La agencia de ciberseguridad de Estados Unidos (CISA), que los llama "php2shell", dice que permiten hacerlo sin que el atacante tenga que iniciar sesión. Los dos tienen una puntuación de 9,2 en la versión 4 de la escala de gravedad CVSS.

PHP se ejecuta en el servidor que te envía la página, no en tu móvil ni en tu ordenador. El aviso de PHP dice que los fallos afectan a todas las instalaciones de PHP que atienden peticiones web, y que el riesgo es mayor con Apache y mod_php, donde existe un exploit demostrado. El aviso de INCIBE-CERT del 21 de octubre recoge lo mismo y añade que un atacante podría ejecutar código con los privilegios del proceso web.

¿Qué versiones de PHP lo corrigen?

El proyecto PHP publicó cuatro versiones corregidas el 21 de octubre de 2026:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Las notas de publicación dicen, en inglés, que no hay mitigaciones completas y que actualizar es la única opción segura. INCIBE-CERT lo resume así: "la actualización es la única solución completa".

PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP. Su aviso indica que algunas distribuciones y proveedores de soporte extendido ofrecen correcciones adaptadas, y que conviene preguntar al proveedor o pasar a una versión con soporte. Por la gravedad de los fallos, el equipo de seguridad de PHP también publicó parches mínimos de código fuente para PHP 7.4, 8.0 y 8.1, pensados para quien compila PHP por su cuenta.

¿A quién afecta entre la gente corriente?

PHP llega a los particulares por tres vías.

Tienes o gestionas una web. Un blog, una tienda pequeña o la web de un club hecha con WordPress u otro gestor puede funcionar con PHP. El NCSC, el centro nacional de ciberseguridad del Reino Unido, dice que las organizaciones que usan cualquier versión de PHP están afectadas. Empieza por cómo comprobar la versión de PHP de tu web y sigue con cómo actualizar PHP en WordPress. Si algo ya parece ir mal, lee web hackeada: qué hacer.

Tienes un NAS, un router u otro aparato con página de administración web. CISA dice que PHP suele formar parte de otro software y que puede no ser fácil de detectar. INCIBE-CERT ha publicado avisos sobre el impacto en productos concretos, como los NAS de Synology y QNAP. Nuestra guía sobre PHP2Shell en Synology y QNAP recoge lo que han dicho esos fabricantes. Si te preguntas por tu propio ordenador, mira si PHP2Shell afecta a tu Mac.

Visitas webs o compras por internet. Los fallos están en los servidores, así que corregirlos es cosa del dueño de la web. Mira si entrar en una web hackeada es peligroso y qué hacer si tus datos personales se filtran.

¿Se está aprovechando ya la vulnerabilidad?

Esto es lo que dicen las fuentes oficiales a 23 de octubre de 2026. CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. INCIBE-CERT indica en su aviso INCIBE-2026-762, a 23 de octubre de 2026, que "se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones", sin identificar cuál de los dos CVE se utilizó en cada caso. CERT-EU, el servicio de ciberseguridad de las instituciones de la UE, dice que han empezado a circular las primeras pruebas de concepto, lo que según CERT-EU aumenta la probabilidad de que los atacantes ya estén aprovechando los fallos. El aviso de QNAP del 22 de octubre dice que se han comunicado públicamente intentos de explotación contra PHP.

Un intento es alguien enviando el ataque a un servidor para ver si funciona. Ninguno de estos avisos dice que una web concreta haya sido atacada con éxito ni que se hayan robado datos.

¿Qué debo hacer ahora?

Si tienes una web:

  1. Averigua qué versión de PHP usa. Cómo comprobar la versión de PHP de tu web explica dónde mirar.
  2. Actualiza a una de las versiones corregidas, o pregunta a tu empresa de alojamiento si ya lo ha hecho. El NCSC pide empezar por los sistemas expuestos a internet.
  3. Si no puedes actualizar enseguida, el NCSC sugiere las mitigaciones temporales del proyecto PHP, y plantearse desconectar el sistema si no se pueden aplicar rápido. INCIBE-CERT dice que, si no se puede actualizar un sistema expuesto a internet, debe aislarse de las redes públicas hasta aplicar una versión corregida.
  4. Si no puedes actualizar ni desconectar la web de inmediato, el NCSC aconseja revisarla en busca de señales de intrusión y puertas traseras.

Si tienes un NAS, un router o un aparato parecido, consulta el aviso de seguridad del fabricante para tu modelo e instala la actualización que ofrezca.

Si eres visitante o cliente, no tienes que instalar nada por PHP2Shell. Los consejos generales siguen valiendo: INCIBE recomienda activar la verificación en dos pasos en todas las cuentas en línea que lo permitan, y ante un correo sospechoso, no hacer clic en ningún enlace ni descargar ningún archivo adjunto. Si tienes dudas, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.

¿Hay una tercera vulnerabilidad de PHP?

Hay una relacionada, pero mucho menor. El 23 de octubre el proyecto PHP publicó un aviso informativo sobre CVE-2026-115560. Dice que el problema solo puede darse con una combinación poco habitual de configuración y código, y que es improbable en la práctica. Mientras tanto, recomienda desactivar el progreso de subida de sesiones (session.upload_progress.enabled=0) hasta la próxima versión de corrección.

Más preguntas

¿PHP2Shell es un virus?

No. Es el nombre de dos fallos en PHP, el software que usan muchos servidores web. Un fallo es una debilidad que podría usarse para atacar un servidor. La solución es actualizar PHP, y eso lo hace el dueño del servidor o la empresa de alojamiento.

¿Tengo que actualizar PHP en mi ordenador?

Seguramente no. PHP funciona en servidores web, y el aviso de PHP dice que los fallos afectan a instalaciones que atienden peticiones web. Si instalaste PHP para crear webs, actualízalo. Nuestra guía sobre PHP2Shell y el Mac lo explica.

¿Qué significa un CVSS de 9,2?

CVSS es un sistema para puntuar la gravedad de un fallo de seguridad. El proyecto PHP puntúa los dos fallos de PHP2Shell con 9,2 en la versión 4 de CVSS. CERT-EU e INCIBE-CERT también los consideran críticos.

Mi web está en un alojamiento compartido. ¿Me toca a mí actualizar PHP?

Pregunta a tu empresa de alojamiento si ya ha instalado las versiones corregidas, y comprueba qué versión usa tu propia web. El consejo del NCSC a las organizaciones es actualizar a la última versión de PHP, empezando por lo expuesto a internet. Cómo comprobar la versión de PHP de tu web te dice dónde mirar.

¿Han hackeado alguna web con PHP2Shell?

A 23 de octubre de 2026, ninguno de los avisos oficiales citados abajo da una cifra de webs comprometidas. Lo que dicen sobre la explotación está más arriba, en "¿Se está aprovechando ya la vulnerabilidad?".

Fuentes

Todas las guías sobre PHP2Shell