PHP2Shell: dos vulnerabilidades críticas ponen en riesgo a millones de sitios web

Una nueva alerta de seguridad afecta a PHP, una de las tecnologías más utilizadas para desarrollar sitios y aplicaciones web. Las vulnerabilidades podrían permitir que atacantes ejecuten código en servidores, accedan a información confidencial o interrumpan servicios. Qué deben saber las organizaciones y cómo protegerse.

Millones de sitios web utilizan PHP para funcionar. Desde tiendas online y portales de noticias hasta plataformas de atención al cliente y aplicaciones empresariales, esta tecnología está presente en una parte importante de Internet.

Por eso, el descubrimiento de dos vulnerabilidades críticas, conocidas conjuntamente como PHP2Shell, encendió las alertas entre los especialistas en ciberseguridad.

Las fallas podrían permitir que un atacante ejecute instrucciones de manera remota en un servidor vulnerable. En determinadas circunstancias, esto podría darle acceso a información sensible, permitirle modificar contenidos, instalar software malicioso o incluso interrumpir el funcionamiento de un servicio.

La gravedad del descubrimiento llevó a los responsables de PHP a preparar una actualización extraordinaria de seguridad para el 21 de octubre de 2026.

Además, parte de la información sobre las vulnerabilidades se filtró antes de que estuvieran disponibles las correcciones, aumentando la preocupación por posibles intentos de explotación.

¿Por qué es importante para las empresas?

PHP es una tecnología ampliamente utilizada en plataformas como WordPress, Drupal, Joomla y Magento, además de numerosos desarrollos propios.

Esto significa que una organización puede utilizar PHP incluso sin tenerlo presente en sus operaciones cotidianas.

Por ejemplo, una empresa podría tener su sitio institucional desarrollado en WordPress, utilizar una plataforma de comercio electrónico basada en PHP o depender de una aplicación de terceros que emplee esta tecnología.

En cualquiera de estos escenarios, la presencia de una versión vulnerable podría representar un riesgo para sus sistemas.

El impacto potencial va mucho más allá de la caída de un sitio web.

Si un atacante consigue explotar estas vulnerabilidades, las consecuencias podrían incluir:

• Robo de información: acceso a datos de clientes, credenciales u otra información confidencial.
• Alteración de contenidos: modificación de páginas web o incorporación de código malicioso.
• Interrupción de servicios: afectación de plataformas comerciales, aplicaciones internas o servicios de atención al público.
• Compromiso de infraestructura: utilización del servidor afectado para desarrollar otras actividades maliciosas.

La posibilidad de explotación depende de factores técnicos, como la versión de PHP instalada, la configuración del servidor y las condiciones particulares de cada aplicación.

¿Qué deberían hacer las organizaciones?

Ante una vulnerabilidad de esta gravedad, la prioridad es determinar si existen sistemas potencialmente afectados y aplicar las correcciones correspondientes.

Desde BeyGoo recomendamos adoptar las siguientes medidas:

1. Verificar si utilizan PHP. Solicitar a los equipos de tecnología que revisen los sitios web, aplicaciones y servicios de la organización. Es importante incluir plataformas desarrolladas por terceros.

2. Comprobar las versiones instaladas. Identificar qué versiones de PHP están en funcionamiento y verificar si se encuentran entre las afectadas.

3. Actualizar los sistemas vulnerables. Aplicar las correcciones de seguridad oficiales, priorizando los servidores y aplicaciones accesibles desde Internet.

4. Revisar las versiones antiguas. Algunas instalaciones de PHP ya no reciben actualizaciones oficiales. En esos casos, será necesario comprobar si existen correcciones proporcionadas por el proveedor o planificar una migración.

5. Buscar señales de actividad sospechosa. Revisar los registros de seguridad y los comportamientos anómalos de los servidores, especialmente durante los días anteriores a la publicación de las correcciones.

Un punto importante: actualizar un servidor evita nuevas explotaciones de la vulnerabilidad corregida, pero no permite determinar si ya fue comprometido. Por eso, la revisión de posibles incidentes también forma parte de la respuesta.

¿Cómo funcionan estas vulnerabilidades?

PHP2Shell reúne dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de gravedad de 9,2 sobre 10 según el sistema CVSS v4.0.

Las dos fueron reportadas como vulnerabilidades que podrían permitir ejecución remota de código, conocida técnicamente como RCE (Remote Code Execution).

Esto significa que, si se cumplen determinadas condiciones, un atacante podría ejecutar instrucciones en un servidor sin necesidad de acceder físicamente a él.

La información sobre estas fallas comenzó a circular antes de su divulgación oficial. Entre el material filtrado aparecieron capturas de pantalla y un video de una supuesta herramienta de explotación denominada PHP2Shell.

Investigadores independientes confirmaron la existencia de las vulnerabilidades y consiguieron reproducir al menos una de ellas.

La situación llevó al proyecto PHP a adelantar la publicación de actualizaciones de seguridad.

¿Ya se están utilizando para realizar ataques?

Los primeros informes de seguridad, publicados el 21 de octubre, señalaban que todavía no existía evidencia confirmada de explotación activa en los entornos analizados.

Sin embargo, la filtración anticipada de información técnica generó preocupación por la posibilidad de que atacantes desarrollaran mecanismos de explotación antes de que las organizaciones pudieran actualizar sus sistemas.

Investigaciones como las publicadas por Recorded Future contribuyen al seguimiento de esta amenaza y de la posible actividad maliciosa asociada.

La evolución de los intentos de explotación y la aparición de nuevos indicadores de compromiso son aspectos que los equipos de seguridad deben seguir de cerca.

¿Es posible saber si un sitio web está afectado?

Identificar desde el exterior qué tecnologías utiliza un sitio web puede ayudar a detectar riesgos potenciales, pero existen limitaciones.

Algunos servidores informan públicamente que utilizan PHP e incluso indican su versión. Sin embargo, esa información puede estar deshabilitada, modificada o desactualizada.

Por eso, una evaluación externa puede señalar qué activos requieren atención, mientras que la confirmación de una vulnerabilidad exige verificar la versión real instalada y las condiciones de funcionamiento del servidor.

En BeyGoo realizamos tareas de monitoreo de activos digitales expuestos a Internet y seguimiento de amenazas emergentes para contribuir a la identificación temprana de riesgos.

En el contexto de PHP2Shell, nuestro equipo realizó una revisión de activos web monitoreados e identificó numerosos dominios que declaran utilizar versiones de PHP potencialmente vulnerables.

Estos hallazgos requieren validación técnica para confirmar su exposición real, pero permiten orientar las revisiones hacia activos que podrían necesitar atención prioritaria.

La importancia de conocer la propia infraestructura

PHP2Shell vuelve a poner en evidencia un desafío habitual para las organizaciones: mantener visibilidad sobre las tecnologías que utilizan y conocer cuáles requieren actualizaciones de seguridad.

Esto incluye tanto los sistemas administrados directamente por sus equipos como las aplicaciones y servicios proporcionados por terceros.

La identificación temprana de posibles exposiciones, el seguimiento de nuevas amenazas y la aplicación oportuna de correcciones son medidas fundamentales para reducir el riesgo de incidentes.

Ante PHP2Shell, la recomendación es clara: verificar las instalaciones de PHP, actualizar las versiones afectadas y revisar posibles señales de compromiso.

¿Cuánto sabes sobre los riesgos que afectan a tus activos digitales?

BeyGoo combina monitoreo de la superficie de ataque externa e inteligencia de amenazas para ayudar a las organizaciones a identificar riesgos y anticiparse a posibles incidentes.

You Build Trust. We Protect It.