PHP2Shell: qué hacer si tu web corre en PHP (aunque tengas todo actualizado)
Dos fallas críticas en PHP (PHP2Shell) encontradas con IA pusieron en riesgo a casi 7 de cada 10 webs del mundo. Qué pedirle a tu hosting hoy, el aviso del 23 de octubre y qué hacer si tu web se apagó.
Si tenés web en WordPress, este es el mensaje que el video te pide copiar y mandarle a tu hosting. En octubre se hizo público PHP2Shell: dos fallas críticas en PHP, el motor de casi 7 de cada 10 webs según Wiz Research, una de las firmas que lo encontró. El hallazgo se hizo con IA y es serio: ejecución de código remota sin login y lectura de memoria del servidor.
La parte que más se subestima: actualizar WordPress y todos tus plugins no te salva. El fallo está en el motor que ejecuta tu sitio, no en tu sitio. Si tu hosting no parcheó PHP, seguís expuesto por más que tengas todo al día.
Qué es PHP2Shell y por qué te toca aunque no toques código
PHP2Shell son dos vulnerabilidades en el core de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas puntúan 9.2 en la escala CVSS v4.0 y permiten que un atacante ejecute código en el servidor sin autenticarse o lea memoria del proceso con contraseñas, tokens y claves. Afectan desde PHP 5.4 hasta la 8.5.11: casi cualquier instalación que sirva páginas.
El hallazgo se hizo con IA: investigadores de Calif (GPT-5.6 Sol, iniciativa Patch the Planet de OpenAI) y de Wiz Research (Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol) encontraron fallas con más de una década en el código y que antes eran muy difíciles de explotar a mano. La IA bajó esa barrera para bien y para mal.
Por eso el foco está en el hosting: PHP corre en el servidor, no en tu panel. Podés tener todo actualizado y seguir expuesto si la máquina quedó con un PHP viejo. Una intrusión o una caída te pega en el growth que acumulaste, en tu visibilidad en buscadores e IA (AI servicio SEO) y en la confianza de quien entra.
El aviso del 23 de octubre que conviene revisar
El 21 de octubre salieron los parches de emergencia (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35) y la historia no terminó ahí. El 23 de octubre el equipo de PHP publicó un aviso nuevo: un vector adicional de ejecución de código, CVE-2026-115560, en la función session.upload_progress. La recomendación: desactivarla (session.upload_progress.enabled=0) hasta la próxima release. Si tu hosting ya la desactivó el 21 como mitigación, no hay que hacer nada más.
Es un caso acotado: según el equipo de PHP, solo aparece con una combinación inusual de configuración y código. Aun así, suma una razón para no cerrar el tema con “ya actualicé”. El 23 de octubre CISA actualizó su alerta con reglas de detección, y el 26 los CVEs entraron al catálogo KEV de vulnerabilidades explotadas. Hay intentos confirmados (Amazon Threat Intelligence registró uno el 17 de octubre, antes de la divulgación), pero mucho del tráfico son sondeos: la evidencia confirma actividad, no masas de sitios comprometidos.
Qué pedirle a tu hosting hoy (copiá y pegá)
El mensaje del video da el punto de partida: qué versión de PHP usa tu web y si aplicaron los parches. Para que la conversación sea corta:
- ¿Qué versión de PHP corre mi web hoy? (8.5.12, 8.4.27, 8.3.36 o 8.2.35 son las con el parche; pedila por escrito)
- ¿Aplicaron los parches de PHP2Shell (CVE-2026-109618 y CVE-2026-109619) en mi servidor?
- ¿Reiniciaron los procesos de PHP tras parchear? (si no, el código viejo sigue corriendo)
- ¿Revisaron el aviso del 23 de octubre y desactivaron session.upload_progress?
- ¿Mi plan corre un PHP sin soporte (8.1 o anterior)? En ese caso, ¿qué plan de migración me ofrecen?
- ¿Hay un firewall de aplicaciones (WAF) activo mientras se completa la actualización?
- ¿Cuándo fue mi último backup íntegro y cómo se restaura?
Guardá las respuestas. Si te dicen “quedate tranquilo” sin detalles, es señal para escalar o planear la migración. Y si tu web está caída, preguntá antes de entrar en pánico: puede ser una pausa preventiva para parchear, como recomienda CISA cuando no se puede actualizar a tiempo. Si invertís en pauta y la web no responde, pausá las campañas para no pagar clicks que caen en la nada.
Versiones parcheadas y qué hacer si estás en una vieja
| Rama de PHP | Versión con el parche | Estado |
|---|---|---|
| 8.5 | 8.5.12 | Parcheada |
| 8.4 | 8.4.27 | Parcheada |
| 8.3 | 8.3.36 | Parcheada |
| 8.2 | 8.2.35 | Parcheada |
| 8.1 o anterior | Sin release oficial | Fin de soporte: migrar o pedir parche al proveedor |
Las ramas 8.1 y anteriores llegaron al fin de su ciclo oficial y el equipo de PHP no publica releases para ellas (hubo backports de código para 7.4 a 8.1). Si tu hosting te tiene en una de esas ramas, la pregunta no es si migrar, sino cuándo. Y si tu web es crítica y hoy no se puede parchear ni migrar, CISA es explícita: mejor sacarla del aire un tiempo que dejarla expuesta.
Un detalle para verificar: parchear no alcanza sin reiniciar los procesos de PHP que ya corrían, y un WAF reduce la exposición sin reemplazar la actualización.
Preguntas frecuentes
¿Actualizar WordPress y los plugins alcanza?
No. PHP2Shell vive en PHP, el motor, y la explotación ocurre antes que tu aplicación. Actualizar todo eso sirve para otras cosas; acá el parche lo aplica quien administra el servidor.
¿Si mi web se apagó es que me hackearon?
No necesariamente. Varios proveedores y organismos recomendaron sacar del aire los sistemas que no podían actualizarse, y una pausa preventiva es probable. Preguntale qué pasó y pedí el motivo por escrito.
¿Cómo sé qué versión de PHP usa mi web?
En WordPress: Herramientas, Salud del sitio, Información, sección del servidor. También en el panel del plan. Necesitás saber si estás en 8.5.12, 8.4.27, 8.3.36, 8.2.35 o en algo anterior sin soporte.
¿Esto ya se está explotando de verdad?
Hay intentos confirmados: Amazon Threat Intelligence observó uno el 17 de octubre y después circularon variantes y código de prueba. CISA agregó los CVEs al KEV el 26 de octubre. La evidencia no confirma compromisos masivos: mucho del tráfico son sondeos, así que el riesgo es real sin ser masivo.
Conclusión
PHP2Shell no es un susto pasajero: es una falla de infraestructura, encontrada con IA y parcheada de urgencia, que se cobra el descuido de dar por hecho que “el hosting se ocupa”. La jugada: pedí la versión de PHP por escrito, confirmá los parches del 21 y el aviso del 23 de octubre, y armá un plan si seguís sin soporte. Un tablero con alertas te avisa de una caída antes de que lo note tu cliente (reporting con IA).
Si querés que revisemos tu web y tu stack digital, en Achalay lo trabajamos como parte del marketing digital, no como un tema aparte que aparece cuando ya pasó algo.