En octubre de 2026 se divulgaron dos fallas críticas en PHP, una tecnología que utilizan muchos sitios web y aplicaciones empresariales. Se conocen como PHP2Shell y sus identificadores son CVE-2026-109618 y CVE-2026-109619.
¿Qué es PHP y por qué importa?
PHP es un lenguaje de programación que trabaja en el servidor: ayuda a procesar formularios, mostrar contenidos y ejecutar funciones de aplicaciones web. Muchas empresas lo utilizan sin saberlo porque viene incluido en sus plataformas.
¿Qué ocurrió con PHP2Shell?
Se descubrieron errores en la forma en que PHP maneja ciertas situaciones de memoria. En instalaciones vulnerables que atienden solicitudes web, un atacante podría aprovecharlos para ejecutar código sin iniciar sesión. Es decir, podría conseguir que el servidor haga algo que no debería.
Esto no significa que todos los sitios con PHP hayan sido atacados. La exposición depende de la versión instalada, las correcciones aplicadas y la configuración del servidor.
¿Qué consecuencias podría tener para una empresa?
Según el entorno, una explotación exitosa podría afectar la disponibilidad de la página o de un sistema empresarial, exponer información o facilitar otros ataques. Por eso es importante revisar también los componentes que funcionan detrás de las aplicaciones.
¿Qué debe revisar una empresa?
- Identificar: qué sitios, servidores y proveedores de alojamiento utilizan PHP.
- Actualizar: aplicar las versiones corregidas de la rama utilizada. Para PHP 8.2, 8.3, 8.4 y 8.5, las versiones publicadas con correcciones son 8.2.35, 8.3.36, 8.4.27 y 8.5.12, respectivamente, o los paquetes equivalentes corregidos por el proveedor.
- Consultar al proveedor: si la web está alojada por un tercero, confirmar que se aplicaron las actualizaciones pertinentes.
- Revisar el WAF: comprobar que las reglas de protección se encuentren actualizadas frente a vulnerabilidades críticas. Un WAF es una protección adicional, no un reemplazo del parche.
- Monitorear: revisar alertas, registros de acceso y comportamientos anómalos.
- Respaldar: mantener copias de seguridad y comprobar que puedan recuperarse.
La lección para cualquier organización
La ciberseguridad no es solamente reaccionar cuando ocurre un incidente. También es conocer la tecnología que utilizamos, mantenerla actualizada y comprobar que los controles funcionan.
Publicación relacionada en LinkedIn
Este análisis amplía una publicación de Breiner Pinilla Padilla sobre PHP2Shell y la seguridad de la infraestructura TI. Consultar la publicación original en LinkedIn.
Fecha de este artículo: 4 de noviembre de 2026. La fecha exacta de la publicación de LinkedIn está pendiente de confirmación.