php2shell en PHP: webs alojadas en ARTIC están protegidas

El 21 de octubre de 2026 se publicaron dos vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619), conocidas como “php2shell” [NVD y Hostinger]. El proyecto PHP lanzó un release de seguridad (8.4.27) e instó a actualizar [PHP.net]. WordPress recordó que afectan a cualquier aplicación PHP y explicó cómo ver la versión desde el propio panel [WordPress]. En ARTIC aplicamos la corrección a todos los alojamientos el mismo 21 de octubre y las webs permanecieron protegidas.

En resumen

• Dos CVE críticas de PHP (CVE-2026-109618 y CVE-2026-109619) se publicaron el 21 de octubre de 2026 [https://nvd.nist.gov/vuln/detail/CVE-2026-109618] [https://nvd.nist.gov/vuln/detail/CVE-2026-109619].
• PHP publicó un lanzamiento de seguridad (8.4.27) y se recomienda actualizar PHP cuanto antes [https://www.php.net/releases/8_4_27.php] [https://wordpress.org/news/2026/10/critical-php-security-release/].
• Afectan a cualquier servidor con aplicaciones PHP; no hay actualización de WordPress que aplicar para esto [https://wordpress.org/news/2026/10/critical-php-security-release/].
• Versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según Hostinger [https://www.hostinger.com/blog/protecting-php2shell/].
• A 25 de octubre de 2026, estos CVE no figuran en el catálogo KEV de CISA [https://www.cisa.gov/known-exploited-vulnerabilities-catalog].

Qué ha pasado y cuándo

El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas en PHP: CVE-2026-109618 y CVE-2026-109619, apodadas colectivamente “php2shell” NVD: CVE-2026-109618 y NVD: CVE-2026-109619. Según NVD, ambos fallos pueden llevar a ejecución remota de código (RCE) al aprovechar condiciones anómalas en la gestión de memoria y estado global durante el manejo de peticiones en PHP NVD: CVE-2026-109618 NVD: CVE-2026-109619.

El equipo de PHP publicó ese mismo día un lanzamiento de seguridad (PHP 8.4.27) e instó a los usuarios de la rama 8.4 a actualizar PHP 8.4.27 Release. Por su parte, el proyecto WordPress subrayó que las vulnerabilidades no son específicas de WordPress y afectan a cualquier servidor que aloje aplicaciones PHP, recomendando comprobar y actualizar la versión de PHP WordPress News.

Estas CVE aparecen catalogadas como de severidad alta/crítica en NVD, por lo que la actualización de PHP es la medida prioritaria NVD: CVE-2026-109618 NVD: CVE-2026-109619.

Quién se ve afectado y cómo comprobar tu caso

Según WordPress, los fallos afectan a cualquier servidor que ejecute aplicaciones PHP; no hay actualización de WordPress que aplicar para este incidente WordPress News. Hostinger detalla que quedan cubiertas por las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35; todo lo anterior estaría afectado Hostinger.

Para comprobar la versión de PHP en un sitio WordPress, ve a Herramientas > Salud del sitio > Información > Servidor; muchos paneles de hosting también lo muestran WordPress News. El proyecto PHP publicó específicamente 8.4.27 como release de seguridad para su rama, por lo que, si estás en 8.4, deberías estar en esa versión o posterior PHP 8.4.27 Release.

WordPress recuerda que las versiones anteriores a 8.2 ya no reciben parches del proyecto PHP y, si gestionas tu propio servidor y no puedes remediarlo de inmediato, las autoridades recomiendan considerar parar temporalmente el servicio hasta poder mitigar WordPress News.

Si necesitas orientación para estabilizar y optimizar tu stack técnico tras una actualización, revisa esta guía de mantenimiento web y los recursos de optimización web y SEO técnico.

Qué hicimos en ARTIC el 21 de octubre

En ARTIC resolvimos la incidencia en cinco minutos. Incluso antes del parche oficial, nuestra plataforma ya cerraba tres vectores: 1) los servidores procesan las peticiones de forma incompatible con el patrón del ataque, impidiendo la ejecución del código malicioso; 2) la función de PHP vulnerable estaba desactivada de serie; y 3) cada web está aislada en una cuenta con permisos limitados, evitando propagación lateral.

El 21 de octubre aplicamos la corrección oficial en todos los alojamientos gestionados; nuestros clientes no tuvieron que hacer nada. Además, mantenemos vigilancia cada 5 minutos, control del certificado SSL y endurecimiento de seguridad a nivel de servidor. En planes con mantenimiento, realizamos actualizaciones controladas de WordPress, plugins y temas, con informe mensual de disponibilidad, rendimiento y actuaciones.

Si tu sitio está en otro proveedor, confirma que ya han desplegado las versiones corregidas de PHP o un build con los parches. Para proyectos WordPress que necesiten una puesta a punto tras el incidente, puede ser útil revisar buenas prácticas de diseño WordPress profesional.

Qué tienes que hacer ahora (lista práctica)

• Comprueba tu versión de PHP. En WordPress: Herramientas > Salud del sitio > Información > Servidor WordPress News.
• Si administras tu propio servidor, actualiza PHP a una versión que incluya el parche: 8.5.12, 8.4.27, 8.3.36 o 8.2.35 Hostinger PHP 8.4.27 Release.
• Si no puedes actualizar de inmediato y estás en versiones anteriores a 8.2, considera parar temporalmente el servicio mientras planificas la mitigación, tal y como recogen las recomendaciones citadas por WordPress WordPress News.
• Verifica con tu proveedor si han aplicado los parches de PHP y si existe protección adicional a nivel de servidor/WAF WordPress News.
• Revisa compatibilidades antes de subir de versión mayor y planifica pruebas en staging. Si necesitas un checklist recurrente, apóyate en procesos de mantenimiento web.

Cómo reducir el riesgo en la próxima vulnerabilidad

• Mantén PHP actualizado y al día el inventario de versiones. El equipo de PHP ha emitido releases de seguridad como 8.4.27; conviene aplicar con rapidez estos lanzamientos PHP 8.4.27 Release.
• Evita quedarte en versiones EOL: WordPress recuerda que anteriores a 8.2 ya no reciben parches del proyecto PHP WordPress News.
• Asegura aislamiento por sitio, políticas de mínimos privilegios y reglas WAF bien mantenidas; son capas que mitigan hasta desplegar el parche.
• Establece ventanas de mantenimiento con pruebas en staging y rollback listo. Un proceso sólido de optimización web y SEO técnico ayuda a monitorizar rendimiento y salud técnica tras cada cambio.
• Documenta quién actualiza PHP y con qué frecuencia. Si trabajas con IA para monitorizar tareas y avisos, aquí tienes cómo nos posicionamos como Claude Partner para automatizaciones que suman resiliencia.

A fecha de 25 de octubre de 2026, estas CVE no figuran en el catálogo de vulnerabilidades explotadas (KEV) de CISA, lo que no exime de aplicar el parche cuanto antes CISA KEV.

Preguntas frecuentes

¿Qué es “php2shell” y qué CVE incluye?

“php2shell” es el apodo con el que se han referido a dos vulnerabilidades críticas en PHP publicadas el 21 de octubre de 2026: CVE-2026-109618 y CVE-2026-109619 NVD: CVE-2026-109618 NVD: CVE-2026-109619 Hostinger.

¿Afecta a WordPress? ¿Hay que actualizar WordPress?

No es un fallo de WordPress, sino del propio PHP, y afecta a cualquier servidor con aplicaciones PHP. No se requiere ni está prevista una actualización de WordPress por este motivo WordPress News.

¿Qué versiones de PHP corrigen el problema?

El equipo de PHP publicó 8.4.27 como release de seguridad. Además, según Hostinger, también están corregidas 8.5.12, 8.3.36 y 8.2.35 PHP 8.4.27 Release Hostinger.

¿Se está explotando activamente?

A 25 de octubre de 2026, estas vulnerabilidades no figuran en el catálogo KEV de CISA. En cualquier caso, se recomienda aplicar el parche de PHP sin demora CISA KEV WordPress News.

¿Quién vigila tu web?

En ARTIC el mantenimiento web incluye actualizaciones controladas, copias de seguridad y vigilancia del servidor, y si tu web va lenta la optimizamos. Si está en otro proveedor, te ayudamos a traerla.

Fuentes

• CVE-2026-109618 · NVD
• CVE-2026-109619 · NVD
• PHP: PHP 8.4.27 Release Announcement
• Critical PHP Security Release – WordPress News
• Hostinger deploys protections against php2shell PHP vulnerabilities
• CISA Known Exploited Vulnerabilities catalog

Artículo informativo con las fuentes enlazadas, actualizado a la fecha de publicación.