PHP2Shell: la grave falla de seguridad que pone en jaque a millones de páginas web

Los dueños de páginas web tienen un motivo nuevo para no dormir tranquilos. Expertos en ciberseguridad bautizaron como «PHP2Shell» a dos vulnerabilidades críticas del lenguaje PHP —el motor que mueve sitios como WordPress, Drupal, Joomla y Magento— que permiten a un atacante tomar el control total de un servidor sin siquiera iniciar sesión.

Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9.2 sobre 10 en severidad. El proyecto PHP lanzó los parches de emergencia el 21 de octubre (versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12), pero lo más grave es que los detalles se filtraron antes de tiempo: Amazon detectó intentos de explotación desde el 17 de octubre, cuatro días antes del parche, y el CEO de Cloudflare reportó millones de intentos de ataque en las primeras horas tras la publicación de la corrección.

«Tu página puede estar al día, tu panel de administración puede tener doble verificación, y el servidor igual puede ser tomado», advirtió un análisis, porque el código vulnerable se ejecuta al leer la petición, antes de que la aplicación web pueda defenderse. En países como Holanda y el Reino Unido, el Parlamento y el centro nacional de ciberseguridad sacaron sus sitios de línea por precaución.

La recomendación es clara: actualicen PHP de inmediato y, si no es posible, verifiquen con su proveedor de hosting si la versión del 21 de octubre está instalada. Con el 70 % de los sitios cuyo lenguaje de servidor es conocido corriendo sobre PHP, esta es una de las alertas de seguridad más importantes del año.