¿Qué es la ejecución remota de código? El RCE, en palabras sencillas

WindowsMacActualizado

La ejecución remota de código, abreviada como RCE por sus siglas en inglés, es el término que usan los avisos de seguridad cuando un fallo podría permitir a un atacante ejecutar su propio código en un sistema al que llega a través de una red. INCIBE-CERT lo explica así en su aviso sobre los fallos de PHP de octubre de 2026: pueden permitir "a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web". Esta guía refleja la situación a 23 de octubre de 2026.

Respuesta rápida

La ejecución remota de código (RCE) significa que un fallo de seguridad podría permitir a alguien ejecutar su propio código o sus órdenes en un ordenador desde otro punto de la red. En el caso de PHP2Shell, el sistema afectado es el servidor web que usa PHP. Corregirlo le toca al responsable del servidor, actualizando el software afectado.

¿Qué significa ejecución remota de código?

La formulación oficial más clara está en los propios avisos. El aviso del proyecto PHP del 21 de octubre de 2026 habla de dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. INCIBE-CERT añade que el código se ejecutaría con los privilegios del proceso web, y el NCSC, el centro de ciberseguridad del Reino Unido, dice que pueden permitir a los atacantes ejecutar órdenes en cualquier servidor web que use PHP.

Las dos palabras que más importan son "remoto" y "no autenticado". FIRST, la organización que publica el sistema de puntuación de gravedad CVSS, dice que de un fallo que se puede atacar a través de la red se suele decir que es "explotable de forma remota", y que los posibles atacantes pueden estar en cualquier parte, hasta en todo internet. En el mismo documento, un atacante que no necesita cuenta ni inicio de sesión se describe como no autenticado antes del ataque.

Así que RCE describe lo que un fallo podría permitir, no algo que ya haya pasado.

¿Por qué un RCE se considera tan grave?

Por lo que el atacante podría hacer una vez que su código se ejecuta. CVSS, el sistema que explicamos en nuestra guía sobre los números CVE y las puntuaciones CVSS, lo recoge como impacto. Las puntuaciones del proyecto PHP para los dos fallos de PHP2Shell marcan un impacto Alto en confidencialidad, integridad y disponibilidad. La especificación de FIRST ilustra el impacto alto en integridad con un atacante capaz de modificar cualquier archivo protegido por el sistema vulnerable, o todos. Su ejemplo de impacto alto en confidencialidad es un atacante que roba la contraseña del administrador o las claves de cifrado privadas de un servidor web.

Las mismas puntuaciones recogen también lo que hace más difícil el ataque. Los dos fallos están marcados con complejidad de ataque alta y con requisitos de ataque presentes. FIRST define lo primero como un ataque que depende de esquivar medidas de seguridad ya existentes. Lo segundo significa que el ataque depende de condiciones concretas en cómo está configurado y funcionando el sistema, y FIRST señala que puede ser necesario lanzarlo varias veces contra un mismo objetivo antes de que funcione.

Con todo eso, la puntuación del proyecto PHP para ambos fallos es 9,2 sobre 10, dentro de la banda Crítica.

¿Qué significa un RCE si tengo una web?

Que actualizar es urgente si tu web usa una versión afectada de PHP. INCIBE-CERT recoge que el riesgo es mayor con Apache mod_php, y que PHP ha validado la ejecución remota de código sin autenticación contra Apache mod_php antes de que se ejecute código de la aplicación. Dicho de otro modo: con mod_php, el ataque puede funcionar antes de que WordPress o cualquier otro software de la web haya llegado a ejecutarse. Qué versiones lo corrigen y qué hacer está en nuestra guía PHP2Shell explicado.

Empieza por cómo comprobar la versión de PHP de tu web. Si tu hosting gestiona PHP por ti, mi hosting dice que PHP está parcheado explica lo que queda de tu parte.

¿Qué significa un RCE si solo visito webs?

Un fallo RCE en PHP es un fallo del servidor. La lista de instalaciones en riesgo del aviso de PHP nombra software de servidor, como PHP-FPM y Apache con mod_php, y no menciona navegadores ni los dispositivos de los visitantes. A 23 de octubre de 2026, la agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. Dos preguntas relacionadas tienen su propia guía: ¿es peligroso entrar en una web hackeada? y ¿están en riesgo mis datos personales?

¿Cómo lleva PHP2Shell a la ejecución remota de código?

Los avisos nombran cada fallo por la forma en que llega al RCE. El primero, CVE-2026-109618, es una ejecución remota de código por corrupción durante un agotamiento de memoria: INCIBE-CERT explica que una asignación de memoria puede fallar cuando los datos de una solicitud aún no están inicializados del todo, y que al cerrar la solicitud PHP puede usar ese estado inválido. El segundo, CVE-2026-109619, es una ejecución remota de código por estado global obsoleto: parte del estado interno de una solicitud puede quedarse en un proceso trabajador después de liberarse su memoria. Los registros CVE oficiales añaden que PHP podría leer esa memoria o tomar decisiones basadas en ella, sin inicializar en el primer caso o ya liberada en el segundo.

Más preguntas

¿Qué significa RCE?

Remote code execution, ejecución remota de código. El proyecto PHP usa la abreviatura en el nombre de los dos fallos de PHP2Shell, "RCE via OOM corruption" y "RCE via stale global state", y los registros CVE de ambos dicen que pueden dar lugar a la ejecución remota de código (RCE).

¿Ejecución remota de código es lo mismo que haber sido hackeado?

No. RCE describe lo que un fallo podría permitir. Haber sido hackeado significa que alguien usó de verdad un fallo contra un sistema. En el caso de PHP2Shell, ninguno de los avisos oficiales da una cifra de webs comprometidas. Si tienes una web y algo no cuadra, lee web hackeada: qué hacer.

¿Qué significa "no autenticado" en un aviso?

Que el atacante no necesita haber iniciado sesión, ni tener cuenta o contraseña en el sistema. La especificación CVSS de FIRST dice que un atacante así no necesita acceso a ajustes ni archivos antes del ataque.

¿Todos los fallos RCE son críticos?

No. La puntuación depende de lo fácil que sea el ataque y de lo que necesite, además del impacto, y distintos evaluadores pueden no coincidir: la base de datos nacional de vulnerabilidades de EE. UU. (NVD) calificó CVE-2026-109619 como Alta, no Crítica. Nuestra guía sobre CVE y CVSS compara las puntuaciones.

¿El RCE es un tipo de vulnerabilidad?

Sí, en el sentido de que describe algo que una vulnerabilidad puede permitir. INCIBE define una vulnerabilidad como un fallo técnico o deficiencia de un programa que puede permitir a un usuario no legítimo acceder a la información u operar sin permiso de forma remota. Nuestra guía sobre qué es una vulnerabilidad explica el término general.

Fuentes