TL;DR: El 21 de octubre de 2026, PHP publicó versiones de emergencia (8.5.12, 8.4.27, 8.3.36 y 8.2.35) para dos fallos críticos bautizados como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Permiten a un atacante ejecutar código en tu servidor sin usuario ni contraseña. Afectan al propio PHP, el motor de unas 7 de cada 10 webs, así que da igual que tu WordPress esté al día: lo que hay que actualizar es PHP. Ya se han visto ataques. Abajo tienes cómo saber si te afecta y cómo arreglarlo en cuatro pasos.

La noticia en un minuto · verla en Instagram

Qué ha pasado, en lenguaje de calle

PHP es el lenguaje que «monta» la página cada vez que alguien visita tu web. Corre en el servidor, no en el navegador. Los dos fallos aparecen cuando PHP se queda sin memoria o sufre un error grave a mitad de una visita: deja restos de esa visita en la memoria y la siguiente puede reutilizarlos. Un atacante puede provocarlo a propósito con peticiones preparadas y acabar ejecutando su propio código con los permisos de la web. Según Wiz, también puede leer trozos de memoria del servidor con contraseñas, tokens, claves de API y certificados.

PHP lo resume así en su aviso: las nuevas versiones «corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación» y «recomienda encarecidamente a todos los usuarios actualizar de inmediato».

Gravedad

  • 9,8 sobre 10 (CVSS 3.1) en la ficha del NIST de Estados Unidos, para los dos CVE.
  • 9,2 sobre 10 (CVSS 4.0), la nota que da el propio equipo de PHP.
  • Importancia 5, crítica, en el aviso INCIBE-2026-762 del INCIBE-CERT.

Quién está afectado

Según PHP, todas las instalaciones que sirven peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php, donde hay un ataque demostrado que se lanza antes de que se ejecute el código de la aplicación.

Wiz demostró que podía tomar el control sin contraseña de instalaciones recién descargadas de WordPress, Drupal y Joomla, pero insiste en que el fallo está en PHP: «incluso una simple aplicación "Hola mundo"» en una versión afectada puede ser vulnerable. Por eso entran también WooCommerce (funciona dentro de WordPress), Magento (citado por Cloudflare y RTÉ/Reuters) y cualquier tienda o web hecha en PHP. Wiz añade que todas las versiones de la última década tienen al menos uno de los fallos, desde PHP 5.4.

Los expertos citados por RTÉ/Reuters señalan como más expuestas a las webs pequeñas en hosting compartido, donde el cliente no gestiona el servidor y el parche puede tardar más.

¿Y las versiones antiguas?

PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. Por la gravedad, PHP ha publicado parches mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quien compila PHP por su cuenta. Algunas distribuciones y proveedores de soporte extendido dan sus propias correcciones. Si tu web usa una de esas versiones, lo sensato es pedir a tu proveedor que lo confirme o subir a una versión mantenida.

Cómo se descubrió: con IA

Los fallos los encontraron investigadores de Wiz (empresa de Alphabet, la matriz de Google), Calif y OpenAI. Wiz usó su herramienta Wiz Atlas y dos modelos de IA: Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. Según Wiz, el código vulnerable llevaba más de una década ahí y la IA cambió la ecuación: «un solo investigador completó en una semana lo que antes habría llevado meses a un equipo de primer nivel». Calif cuenta que el patrón venía de un fallo de 2004 y que un aviso de 2020 y una auditoría de 2024 ya lo habían rozado sin demostrar que fuera explotable.

Cronología de Wiz: primer fallo encontrado el 19 de agosto, aviso a PHP el 24 de agosto y parche y publicación el 21 de octubre.

¿Lo están atacando ya?

  • Cloudflare escribe que el fallo se filtró antes de la fecha oficial y que observó tráfico de ataque contra sus clientes. Activó reglas de su cortafuegos desde el 21 de octubre a las 3:02 (UTC), también en el plan gratuito.
  • INCIBE-CERT: «Se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones».
  • El catálogo de vulnerabilidades explotadas de la CISA (EE. UU.) aún no lo incluía en su última versión del 21 de octubre, publicada antes del aviso.

Europa apaga webs por precaución

Según RTÉ/Reuters, en los Países Bajos se desconectaron webs como la del puerto de Róterdam, el portal Overheid.nl, la federación de fútbol KNVB y varias de hospitales; hasta el centro nacional de ciberseguridad neerlandés se desconectó. En Finlandia, Valtori retiró servicios de red del Estado; en Francia, el Ministerio del Interior puso todas sus webs en mantenimiento preventivo; en Dinamarca, Kombit apagó la plataforma escolar nacional. La fundación que gestiona Wikipedia también desconectó sistemas hasta parchearlos. El NCSC británico pidió actualizar ya o desconectar.

Cómo saber si te afecta y cómo arreglarlo

1. Mira tu versión de PHP

  • En el panel de tu hosting (hPanel, cPanel, Plesk…), en el apartado «PHP» o «Configuración de PHP».
  • En WordPress: Herramientas → Salud del sitio → Información → Servidor, línea «Versión de PHP».

2. Si es anterior a la corregida, actualiza hoy

  • Versiones seguras: 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (o superiores de su misma rama).
  • Escribe hoy a tu hosting: «¿Habéis actualizado PHP a la versión que corrige PHP2Shell (CVE-2026-109618 y CVE-2026-109619)? Confirmádmelo, por favor».
  • Si tu panel te deja elegir la versión de PHP, cámbiala tú y comprueba que la web carga bien.
  • Con PHP 8.1 o anterior: pide el parche retroportado o sube a una versión mantenida.

3. Mientras tanto, reduce el riesgo

  • Si usas Cloudflare, su cortafuegos (WAF) ya bloquea los ataques conocidos, también gratis. Es una capa extra, no sustituye al parche.
  • Si gestionas tú el servidor y no puedes actualizar ya, PHP e INCIBE proponen medidas temporales: session.upload_progress.enabled=0 (y reiniciar todos los procesos), memory_limit=-1 aplicado por el administrador, post_max_size bajo (8 MB sin subidas de archivos, 32 MB con ellas) y, en PHP 8.5, fatal_error_backtraces=0. Reducen el riesgo en rutas concretas, pero no hacen segura la instalación.
  • INCIBE: si no puedes actualizar un sistema expuesto a internet, aíslalo de las redes públicas hasta aplicar la versión corregida.

4. Revisa tu web

  • Actualiza WordPress (o tu gestor), plugins y temas.
  • Busca usuarios administradores o archivos que no reconozcas.
  • Señales que da Wiz: muchas peticiones seguidas de errores de memoria o errores 500 repetidos, cookies PHPSESSID muy largas o extrañas y procesos de PHP que se reinician sin motivo. Si ves algo así, avisa a tu hosting.

Qué significa para tu negocio

Si vendes o te anuncias con una web, este es el aviso de seguridad del año. No hace falta saber programar: basta con mirar un número y escribir un correo a tu hosting. Hazlo hoy y pide que te lo confirmen por escrito.

Fuentes: aviso de seguridad de PHP (21-10-2026) · NIST · CVE-2026-109618 · NIST · CVE-2026-109619 · INCIBE-CERT · INCIBE-2026-762 · Wiz Research · Calif · Cloudflare · BleepingComputer · RTÉ / Reuters