{"id":131539,"date":"2026-10-22T10:41:51","date_gmt":"2026-10-22T08:41:51","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131539"},"modified":"2026-10-22T10:41:53","modified_gmt":"2026-10-22T08:41:53","slug":"php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/","title":{"rendered":"PHP2Shell: dos fallos cr\u00edticos de PHP ponen en riesgo WordPress y obligan a actualizar ya los servidores"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img decoding=\"async\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/10\/image-20-1024x576.png\" alt=\"\" class=\"wp-image-131541\" title=\"\"><\/figure>\n\n\n\n<p>Los administradores de webs tienen deberes urgentes esta semana. El proyecto PHP public\u00f3 el <strong>21 de octubre<\/strong> versiones de emergencia para corregir dos vulnerabilidades cr\u00edticas, bautizadas como <strong>PHP2Shell<\/strong>, que permiten ejecutar c\u00f3digo en un servidor sin necesidad de iniciar sesi\u00f3n. Seg\u00fan Wiz Research, el equipo que las ha investigado, los fallos afectan a casi todas las versiones de PHP desde la 5.4 y se pudieron explotar en instalaciones por defecto de <strong>WordPress, Drupal y Joomla<\/strong>. La \u00fanica soluci\u00f3n completa es actualizar.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_76 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/#Que_es_PHP2Shell_y_por_que_es_tan_grave\" >Qu\u00e9 es PHP2Shell y por qu\u00e9 es tan grave<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/#Una_investigacion_hecha_con_IA_y_un_parche_con_prisas\" >Una investigaci\u00f3n hecha con IA y un parche con prisas<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/#Que_versiones_hay_que_instalar_y_que_hacer_si_no_se_puede_actualizar\" >Qu\u00e9 versiones hay que instalar y qu\u00e9 hacer si no se puede actualizar<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/#Que_significa_para_quienes_gestionan_webs_con_WordPress\" >Qu\u00e9 significa para quienes gestionan webs con WordPress<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"Que_es_PHP2Shell_y_por_que_es_tan_grave\"><\/span>Qu\u00e9 es PHP2Shell y por qu\u00e9 es tan grave<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Los dos fallos est\u00e1n registrados como <strong>CVE-2026-109618 y CVE-2026-109619<\/strong> y tienen una puntuaci\u00f3n de gravedad de 9,2 sobre 10 en la escala CVSS v4.0. El primero se aprovecha de la forma en que PHP gestiona los errores por falta de memoria, que pueden dejar datos internos a medio inicializar. El segundo permite que un estado interno ya liberado sobreviva y lo reutilice una petici\u00f3n posterior atendida por el mismo proceso.<\/p>\n<p>Lo delicado es que el problema est\u00e1 en el <strong>n\u00facleo del lenguaje<\/strong>, no en el c\u00f3digo de cada web. Seg\u00fan Wiz, incluso una aplicaci\u00f3n tan simple como un \u00abHello World\u00bb podr\u00eda quedar expuesta en una versi\u00f3n vulnerable. El aviso oficial de PHP se\u00f1ala que el riesgo afecta a cualquier instalaci\u00f3n que atienda peticiones web, y que es m\u00e1ximo con <strong>Apache y mod_php<\/strong>, donde el ataque puede lanzarse antes de que se ejecute el c\u00f3digo de la aplicaci\u00f3n.<\/p>\n<p>Wiz asegura adem\u00e1s que logr\u00f3 leer la memoria de los procesos de PHP sin autenticaci\u00f3n, lo que podr\u00eda dejar al descubierto <strong>contrase\u00f1as, tokens, claves de API y certificados<\/strong> procedentes de otras peticiones o del propio servidor.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Una_investigacion_hecha_con_IA_y_un_parche_con_prisas\"><\/span>Una investigaci\u00f3n hecha con IA y un parche con prisas<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La cronolog\u00eda publicada por Wiz arranca el <strong>19 de agosto de 2026<\/strong>, cuando detect\u00f3 el primer fallo. Al d\u00eda siguiente confirm\u00f3 la ejecuci\u00f3n remota de c\u00f3digo contra Drupal y el 21 de agosto, contra WordPress. El 24 de agosto envi\u00f3 los informes al equipo de seguridad de PHP, que empez\u00f3 a coordinar la correcci\u00f3n el 21 de septiembre. Wiz explica que us\u00f3 modelos de IA como Gemini 4 Argon y GPT-5.6 Sol para descubrir los fallos, desarrollar los exploits y validar el parche.<\/p>\n<p>El lanzamiento no fue tranquilo. PHP avis\u00f3 el 20 de octubre de que publicar\u00eda el parche al d\u00eda siguiente, y seg\u00fan Cybernews y Hostinger los detalles se filtraron antes de tiempo y circulaba <strong>c\u00f3digo de explotaci\u00f3n<\/strong> horas antes de que llegara la correcci\u00f3n. CERT-EU lleg\u00f3 a recomendar aislar o desconectar las aplicaciones expuestas que no pudieran parchearse, y Reuters inform\u00f3 de que algunas webs de administraciones, colegios y hospitales europeos se desconectaron por precauci\u00f3n.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_versiones_hay_que_instalar_y_que_hacer_si_no_se_puede_actualizar\"><\/span>Qu\u00e9 versiones hay que instalar y qu\u00e9 hacer si no se puede actualizar<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Las versiones corregidas son <strong>PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/strong>. PHP 8.1 y anteriores ya no reciben actualizaciones oficiales, aunque el proyecto ha publicado parches de c\u00f3digo para 7.4, 8.0 y 8.1 y recuerda que las distribuciones de Linux recibieron las correcciones por adelantado. Adem\u00e1s, PHP 8.2 deja de tener soporte el <strong>31 de diciembre de 2026<\/strong>, as\u00ed que conviene planificar ya el salto.<\/p>\n<p>Para quien no pueda actualizar de inmediato, PHP propone medidas que reducen la exposici\u00f3n pero que <strong>no hacen segura la instalaci\u00f3n<\/strong>: desactivar session.upload_progress.enabled en php.ini y reiniciar los procesos, limitar el tama\u00f1o de las peticiones y, en PHP 8.5, desactivar fatal_error_backtraces. Proveedores como Cloudflare, Fastly, Google o Vercel han activado protecciones para sus clientes, y Hostinger asegura que ha bloqueado patrones de ataque y actualizado PHP en sus planes, salvo en los VPS.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_significa_para_quienes_gestionan_webs_con_WordPress\"><\/span>Qu\u00e9 significa para quienes gestionan webs con WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La primera tarea es saber <strong>qu\u00e9 versi\u00f3n de PHP usa cada web<\/strong>, algo que se puede consultar en la pantalla de Salud del sitio de WordPress o en el panel del hosting. En un hosting gestionado, lo normal es que el proveedor aplique el parche, pero conviene confirmarlo por escrito. En un VPS o un servidor propio, la actualizaci\u00f3n es responsabilidad de quien lo administra.<\/p>\n<p>Wiz recomienda vigilar se\u00f1ales como <strong>errores 500 repetidos<\/strong>, peticiones multipart extra\u00f1as seguidas de errores de memoria o cookies PHPSESSID anormalmente grandes, porque los registros de la aplicaci\u00f3n pueden mostrar muy poco. Y no hay que olvidar los subdominios de pruebas, las instalaciones abandonadas o las im\u00e1genes de Docker antiguas, que suelen quedarse sin actualizar.<\/p>\n<p>Si hace falta desconectar una web para parchearla, John Mueller, de Google, recomend\u00f3 servir un <strong>c\u00f3digo HTTP 503<\/strong> en lugar de dejar que las peticiones caduquen o devuelvan errores 404 o 500, para que el apag\u00f3n temporal no afecte al posicionamiento en buscadores.<\/p>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Los administradores de webs tienen deberes urgentes esta semana. El proyecto PHP public\u00f3 el 21 de octubre versiones de emergencia &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"PHP2Shell: dos fallos cr\u00edticos de PHP ponen en riesgo WordPress y obligan a actualizar ya los servidores\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/php2shell-dos-fallos-criticos-de-php-ponen-en-riesgo-wordpress-y-obligan-a-actualizar-ya-los-servidores\/#more-131539\" aria-label=\"Leer m\u00e1s sobre PHP2Shell: dos fallos cr\u00edticos de PHP ponen en riesgo WordPress y obligan a actualizar ya los servidores\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131540,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[163],"tags":[],"class_list":["post-131539","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131539","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131539"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131539\/revisions"}],"predecessor-version":[{"id":131542,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131539\/revisions\/131542"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131540"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131539"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131539"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131539"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}