¿Usa PHP tu router o tu cortafuegos de casa? Qué significa PHP2Shell para él

WindowsMacActualizado 2026-10-24

Netgate, que hace pfSense, y el equipo de OPNsense publicaron actualizaciones de PHP para su software de cortafuegos el 21 de octubre de 2026, el mismo día en que el proyecto PHP anunció los fallos de PHP2Shell. Que un router doméstico normal esté afectado depende de si su fabricante le incorporó PHP, y eso solo puede decírtelo el fabricante.

Respuesta rápida

PHP2Shell afecta a las instalaciones de PHP que atienden peticiones web, y algunos aparatos de red usan PHP para su página de administración. pfSense y OPNsense han publicado correcciones. Para cualquier otro router, busca una actualización de firmware en la web de soporte del fabricante, desactiva el acceso remoto e instala las actualizaciones cuando lleguen.

¿Afecta PHP2Shell a mi router?

Solo si tu router usa PHP, y la mayoría de la gente no tiene forma de verlo desde fuera. El aviso del proyecto PHP dice que los dos fallos, CVE-2026-109618 y CVE-2026-109619, ponen en riesgo todas las instalaciones de PHP que atienden peticiones web, y que pueden permitir la ejecución remota de código sin autenticación. Dicho de forma sencilla: alguien podría ejecutar sus propias órdenes en el aparato sin iniciar sesión.

La agencia estadounidense CISA dice que PHP suele ser un componente de otro software y que su presencia puede no ser directamente visible. El NCSC, el centro de ciberseguridad del Reino Unido, dice que PHP también se usa en otros productos. Así que un aparato puede llevar PHP sin que lo diga la caja.

En esta página no nombramos ninguna marca de router doméstico, porque solo citamos a un fabricante cuando su propio aviso dice que sus productos están afectados o corregidos. Los dos que lo han dicho están abajo. El aviso de INCIBE-CERT sobre PHP no menciona routers.

¿Qué dice Netgate sobre pfSense?

La publicación de Netgate del 21 de octubre de 2026, en inglés, dice que las dos vulnerabilidades afectan a las instalaciones de pfSense. Añade que solo son motivo de preocupación si la interfaz web de administración de pfSense, hecha en PHP, o el servicio Captive Portal están expuestos a posibles atacantes.

Netgate dice que, por defecto, la página de administración solo es accesible desde la red local, no desde internet, y que Captive Portal no viene activado. Estas son las versiones que enumera como actualizadas:

pfSense Plus 26.07 y 26.03.1, y pfSense CE 2.9.0, ahora con PHP 8.5.12.
pfSense CE 2.8.1, ahora con PHP 8.3.36.

La actualización no se puede hacer desde la página de administración web. Netgate dice que hay que hacerla desde la línea de comandos, por SSH o desde la consola, y su publicación da los comandos exactos. Quien haya expuesto la página de administración a internet debería actualizar de inmediato, cambiar sus reglas y, a partir de entonces, entrar solo por vías seguras como una VPN. Quien use Captive Portal debería actualizar lo antes posible. Al resto, Netgate le dice que actualice igualmente cuando le venga bien.

¿Qué dice OPNsense?

El anuncio de OPNsense del 21 de octubre de 2026 enumera correcciones con PHP actualizado: Community Edition 26.7.7 con PHP 8.5.12, Community Edition 26.1.11 con PHP 8.3.36, y una actualización para la Business Edition. Las notas de la serie 26.7 de OPNsense incluyen, bajo 26.7.7, la corrección urgente para CVE-2026-109618 y CVE-2026-109619 con PHP 8.5.12.

El anuncio de OPNsense recomienda encarecidamente instalar la actualización lo antes posible. Si usas el portal cautivo, dice que reinicies ese servicio después de instalarla para que las correcciones surtan efecto.

¿Qué dicen CISA y el NCSC de los aparatos que incluyen PHP?

Los consejos de las dos agencias están escritos para organizaciones, y los dos van más allá de los servidores que uno monta. El NCSC pide vigilar las actualizaciones de seguridad de terceros fabricantes, también de aparatos y servicios que puedan incluir PHP. CISA pide localizar y listar todos los sistemas con cualquier versión de PHP, actualizar empezando por los expuestos a internet y desconectar los que no puedan actualizarse.

En una red doméstica, la versión práctica de todo eso es la web de soporte del fabricante de tu router. Sobre la explotación, CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre de 2026, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. A 23 de octubre de 2026, el aviso de QNAP dice que se han comunicado públicamente intentos de explotación contra PHP.

¿Qué hago con mi router de casa?

Trátalo como cualquier aparato cuyo software no puedes revisar tú. La guía de INCIBE para ciudadanos "Tu router, tu castillo" explica los ajustes que importan aquí, y avisa de que los menús y los pasos cambian según el modelo.

Busca la marca y el modelo de tu router y abre la web de soporte del fabricante para ese modelo.
Busca un aviso de seguridad o una actualización de firmware. INCIBE explica que en el firmware del router pueden aparecer vulnerabilidades que se resuelven con parches o actualizaciones de seguridad, y que el firmware "es como el sistema operativo del router".
Instala la actualización. En el router de ejemplo de la guía de INCIBE está en Información y diagnóstico > Actualización de software, y en otros modelos aparece como Actualización del firmware, en Opciones avanzadas o en Información sobre el router. INCIBE aconseja entrar de vez en cuando a comprobarlo.
Desactiva el acceso remoto. INCIBE dice que, para evitar que se pueda entrar al router desde el exterior, hay que asegurarse de que esta función está desactivada. Puede llamarse Acceso remoto al router, WAN Access o estar dentro de Administración.
Revisa UPnP y los puertos abiertos. INCIBE dice que los ciberdelincuentes usan los puertos para lanzar ataques y que mantenerlos abiertos les pone las cosas más fáciles. Su guía muestra cómo cerrar los que no uses. Nuestra guía sobre desactivar UPnP y la redirección de puertos explica qué aconsejan sobre UPnP.
Si el router sigue con la contraseña de administración de fábrica, cámbiala. INCIBE dice que conviene hacerlo lo antes posible, porque por defecto se suelen usar contraseñas muy débiles.

Si también tienes un NAS en casa, Synology y QNAP tienen sus propios avisos. Nuestra guía sobre NAS recoge lo que dice cada uno.

Más preguntas

¿Hay una lista de productos afectados por PHP2Shell?

El NCSC enlaza a una lista de productos de software con una dependencia de PHP que puede estar afectada, que NCSC-NL mantiene en GitHub. La lista dice que se actualiza a medida que evoluciona la situación, así que es un punto de partida. Para tu modelo, el aviso del propio fabricante es el que cuenta.

¿Puedo actualizar yo el PHP de mi router?

En la mayoría de los routers domésticos, no. Si el router lleva PHP, viene dentro del firmware del fabricante, así que la corrección llega como actualización de firmware. pfSense y OPNsense son distintos: sus usuarios instalan ellos mismos el PHP actualizado, con los pasos del aviso de cada proyecto.

La página de administración de mi router solo se abre desde casa. ¿Estoy a salvo?

Netgate dice que quien tiene pfSense con la página de administración fuera de redes no fiables y sin Captive Portal no está afectado, aunque debería actualizar igualmente. QNAP avisa de que limitar el acceso a la red local no protege frente a aparatos de esa red que ya estén comprometidos. La solución sigue siendo actualizar.

¿Hay alguna solución temporal si aún no hay actualización?

El proyecto PHP dice que solo una actualización es una solución completa, y que sus ajustes provisionales reducen la exposición sin hacer segura una instalación. Esos ajustes son para quien gestiona PHP. En un router, lo que está en tu mano es mantener la administración fuera de internet e instalar la actualización del fabricante.

¿Qué es PHP2Shell?

Es el nombre de dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación de 9,2 en CVSS versión 4.0, anunciados el 21 de octubre de 2026. Nuestra explicación de la vulnerabilidad de PHP incluye las versiones corregidas.