¿Afecta la vulnerabilidad de PHP a mi Mac? Cómo saber si tienes PHP instalado

MacActualizado

La vulnerabilidad de PHP conocida como PHP2Shell solo afecta a tu Mac si tiene PHP instalado, y el manual de PHP dice que PHP ya no viene incluido desde macOS 12 Monterey. En la mayoría de los Mac solo estará si lo instalaste tú o una herramienta que instalaste. Puedes comprobarlo en Terminal en menos de un minuto.

Respuesta rápida

El aviso del proyecto PHP del 21 de octubre de 2026 trata dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, en instalaciones de PHP que atienden peticiones web. El manual de PHP dice que macOS no incluye PHP desde macOS 12 Monterey. Abre Terminal y escribe php -v. Si aparece una versión, actualízala a una versión corregida por la misma vía con la que la instalaste.

¿macOS trae PHP?

No en las versiones recientes, según el manual de PHP. Dice que PHP estaba incluido con macOS en las versiones 10 y 11, pero ya no desde macOS 12 (Monterey), y que en las versiones recientes hay que instalarlo con paquetes de terceros o compilarlo desde el código fuente.

Las notas de versión de macOS Catalina 10.15 de Apple no nombran PHP: solo dicen que lenguajes de script como Python, Ruby y Perl se incluían por compatibilidad, y que las versiones futuras no los incluirían por defecto. Lo que zanja la duda es comprobar tu propio Mac.

¿Cómo sé si tengo PHP instalado en el Mac?

Con Terminal, como explica el manual de PHP. Su documentación de línea de comandos dice que escribir php -v te indica la versión de PHP y si es la versión CLI o CGI. Si aparece un número de versión, PHP está instalado y puedes compararlo con las versiones corregidas de abajo.

  1. En el Finder, abre la carpeta Aplicaciones, luego Utilidades, y haz doble clic en Terminal. Apple describe este camino en su guía de Terminal.
  2. Escribe php -v y pulsa Retorno.
  3. Lee la primera línea. Empieza por "PHP" y un número de versión, por ejemplo PHP 8.3.36.
  4. Compárala con la versión corregida de su serie, que encontrarás en cómo comprobar la versión de PHP. Cualquier versión anterior de la misma serie necesita actualizarse. PHP 8.1 y anteriores ya no reciben ninguna actualización del proyecto PHP.

¿Quién puede tener PHP instalado en un Mac?

Sobre todo quien crea o prueba webs. Las páginas del manual de PHP sobre macOS describen dos vías: instalar paquetes de terceros o compilar PHP desde el código fuente. Menciona Homebrew como una forma sencilla (brew install php), y MacPorts y Fink como alternativas.

También puede que tengas PHP si:

  • creas o pruebas webs en PHP en tu Mac y lo instalaste para eso
  • instalaste una herramienta de servidor local que trae su propio PHP. El NCSC, el centro de ciberseguridad del Reino Unido, pide vigilar las actualizaciones de los fabricantes cuyos productos incluyen PHP, y lo mismo vale para una app de tu Mac
  • has usado el servidor web integrado de PHP (php -S). El manual de PHP dice que está pensado para ayudar en el desarrollo, que no está pensado para producción y que no debe usarse en una red pública

Si nada de esto te suena, php -v te lo confirmará en un sentido u otro.

¿Corre riesgo el PHP de mi Mac?

Depende de cómo lo uses. El aviso de PHP dice que están en riesgo todas las instalaciones de PHP que atienden peticiones web, y nombra PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Considera mayor el riesgo con mod_php, donde dice que hay un exploit demostrado que una petición sin autenticar puede activar antes de que se ejecute el código de la aplicación.

El aviso no dice nada sobre PHP usado solo desde la línea de comandos, así que no podemos decirte que ese uso sea seguro. La alerta del NCSC dice que las organizaciones que usan cualquier versión de PHP están afectadas y deben actualizar a la última versión. En un Mac, actualizar también es la respuesta sencilla.

Sobre la explotación, a 23 de octubre de 2026: la agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación.

¿Cómo actualizo PHP en un Mac?

Actualízalo igual que lo instalaste. El aviso de PHP pide actualizar a la versión corregida de tu serie, y dice que las descargas del código fuente están en la página de descargas de php.net. Si instalaste PHP con un gestor de paquetes, actualízalo con ese gestor. Si vino dentro de una app de servidor local, actualiza la app o busca en la web de su fabricante una versión con el PHP corregido.

Cambiar ajustes no es una solución. El aviso dice que las medidas que enumera reducen la exposición a rutas de ataque concretas, pero no hacen segura una instalación.

Si usas PHP 8.1 o anterior, el aviso dice que el proyecto PHP ya no actualiza esas versiones y sugiere pasar a una versión con soporte. El equipo de seguridad de PHP sí publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quien compila PHP.

Después de actualizar, vuelve a ejecutar php -v y comprueba que el número de versión ha cambiado.

No. El manual de PHP explica que el código PHP se ejecuta en el servidor, que después envía el HTML resultante a tu navegador. Tu navegador recibe el resultado y nunca ve el código PHP. Así que leer una web hecha con PHP no ejecuta PHP en tu Mac, y PHP2Shell es un problema del servidor de esa web, no de tu portátil.

Una web hackeada sí puede ser un riesgo para quien la visita por otras vías, como páginas de inicio de sesión falsas o descargas dañinas. Nuestra guía sobre si entrar en una web hackeada es peligroso trata esa parte.

Dónde encaja Failshot

Failshot es seguridad de dispositivo de segunda capa para tu Mac. Tu contraseña es la primera capa, y Failshot es la segunda.

Es para el momento en que alguien se sienta ante tu Mac y lo desbloquea.

Mientras está activado, Failshot hace fotos de quien desbloquea tu Mac y después, con Pro, graba un vídeo de 5 segundos, y su ventana le avisa a esa persona de que el desbloqueo se ha fotografiado. Con Pro, activa las alertas y Failshot te envía un correo cuando hay un desbloqueo que no confirmas como tuyo, un PIN o una respuesta de Failshot incorrectos, o cuando se desactiva su acceso a la cámara mientras está activado. Para desactivarlo, o salir desde su menú, hace falta Touch ID o tu PIN y tu respuesta de Failshot, nunca la contraseña del Mac.

Failshot se descarga gratis para Mac con macOS 14 o posterior. Uso gratuito. Pro añade el vídeo, las alertas por correo y la bóveda cifrada. Prueba Failshot Pro para Mac gratis durante 7 días en failshot.app: al darte de alta se te pide la tarjeta, y el cobro llega el día 8 salvo que canceles. Las versiones para iPhone, Android y Windows llegarán pronto. La app está en inglés.

Más preguntas

¿Una actualización de macOS corrige PHP?

El manual de PHP dice que macOS no incluye PHP desde macOS 12 Monterey, así que en esas versiones cualquier PHP se instaló aparte y hay que actualizarlo por la misma vía. Mantén macOS al día de todos modos, pero no des por hecho que actualiza el PHP de un gestor de paquetes o de una app de servidor local.

Mi Mac tiene macOS Big Sur o anterior. ¿Tiene PHP?

Puede que sí. El manual de PHP dice que PHP venía incluido con macOS en las versiones 10 y 11. Ejecuta php -v en Terminal, como en los pasos de arriba.

¿Hay otro problema de PHP después del 21 de octubre?

Sí, uno distinto y mucho menos probable, CVE-2026-115560, que el proyecto PHP publicó el 23 de octubre. Nuestra explicación de la vulnerabilidad de PHP lo recoge.

Fuentes