Las vulnerabilidades de PHP que ponen en alerta a miles de páginas web

Este 21 de octubre de 2026 se han dado a conocer dos vulnerabilidades críticas de PHP, uno de los lenguajes de programación más utilizados, han provocado de manera internacional una alerta, y como consecuencia, la adopción de medidas preventivas en numerosos servidores.

Estas vulnerabilidades, denominadas conjuntamente PHP2Shell, han generado la preocupación de que un atacante pueda ejecutar código malicioso de manera remota en servidores que hayan sido afectados, sin la necesidad de disponer previamente de credenciales de acceso.

PHP es una tecnología fundamental para millones de sitios web, incluyendo gestores como WordPress o comercios electrónicos como Prestashop.

En este artículo analizamos qué es PHP2Shell, cuáles son sus riesgos y por qué mantener actualizada la infraestructura tecnológica es fundamental para garantizar la seguridad de cualquier negocio digital.

¿Qué es PHP2Shell y por qué supone una amenaza para las páginas web?

Con PHP se pueden ejecutar comandos en la consola, y Shel es como se llama a la consola de comandos. Estas son las dos vulnerabilidades críticas descubiertas en PHP:

• CVE-2026-109618
• CVE-2026-109619

Dichas vulnerabilidades afectan al lenguaje utilizado para el procesamiento de operaciones de servidores y permitir la ejecución remota de código.

¿Cómo funciona PHP?

Cuando un usuario visita una página web desarrollada con este lenguaje de programación, se procesa una petición al servidor. A continuación, PHP procesa esa petición, ejecuta las operaciones necesarias y genera una respuesta que posteriormente recibe el visitante.

El problema surge cuando un fallo de seguridad permite que una petición manipulada altere el funcionamiento previsto del servidor, lo que podría comprometer la información almacenada, modificar archivos, afectar a su funcionamiento o facilitar otros tipos de ataques.

¿Por qué se consideran vulnerabilidades críticas?

Estas vulnerabilidades han recibido una valoración de gravedad muy elevada, y se debe a que pueden permitir la ejecución de código malicioso de forma remota; en algunos casos no requieren de autenticación previa; afectan a la tecnología de manera general; pueden comprometer aplicaciones y datos alojados en servidores que hayan sido afectados; requieren actuar sobre la infraestructura PHP, no solamente en la aplicación web.

Esto último es más importante, ya que el problema se soluciona más allá de la modificación de los plugins o cambiando la contraseña de acceso a una página web,porque en este caso, es necesario realizar una revisión de PHP instalada y aplicar las correcciones de seguridad pertinentes.

Páginas que pueden verse afectadas por PHP2Shell

Entre los sistemas que habitualmente funcionan con PHP se encuentran:

• • WordPress: uno de los gestores de contenido que más se utiliza para páginas corporativas, blogs y tiendas online mediante WooCommerce.
  • PrestaShop: plataforma especializada en comercio electrónico que permite gestionar catálogos, pedidos, clientes y procesos de compra.
  • Drupal y Joomla: gestores de contenido utilizados en proyectos web con diferentes necesidades de estructura y administración.

• Aplicaciones desarrolladas a medida: páginas web, plataformas de gestión y herramientas empresariales creadas utilizando PHP y sus diferentes frameworks.

En el momento del ataque, todas las versiones estaban vulneradas, sin embargo, hay 4 versiones que la organización de PHP mantiene. Esto depende de factores como la versión que esté instalada, la configuración del servidor y las correcciones de seguridad realizadas. Si una web desarrollada con WordPress usa una versión de PHP corregida, está correctamente protegida, sin embargo, una aplicación con los plugins actualizados funcionando sobre un entorno PHP vulnerable, podría seguir estando expuesta.

Versiones de PHP afectadas

Una vez que se han conocido las vulnerabilidades, se han publicado actualizaciones de seguridad para corregir los fallos identificados en versiones como:

• PHP 8.5: versión 8.5.12
• PHP 8.4: versión 8.4.27
• PHP 8.3: versión 8.3.36
• PHP 8.2: versión 8.2.35

En el caso de versiones antiguas que ya no reciben soporte oficial, requieren de especial atención, ya que pueden acumular vulnerabilidades y no disponer de actualizaciones de seguridad.

Sin embargo, algunos proveedores de alojamiento utilizan mecanismos conocidos como backports, que permiten incorporar determinados parches sin modificar el número principal de versión.

Por ello es necesario, además, verificar las actualizaciones de seguridad aplicadas por el proveedor del servidor y posteriormente comprobar la compatibilidad de los módulos, plugins y desarrollos personalizados.

Consecuencias de tener una vulnerabilidad de PHP

Las consecuencias concretas dependen de las características del ataque y del servidor que haya sido afectado, pero existen varios riesgos como:

• Acceso no autorizado a información.
• Modificación de archivos y contenidos
• Interrupción de la actividad online
• Daños reputacionales

¿Qué relación tiene la inteligencia artificial con el descubrimiento de PHP2Shell?

Según las informaciones publicadas, herramientas de análisis apoyadas en IA habían señalado anteriormente comportamientos potencialmente peligrosos en el código de PHP.

Esto vuelve a poner de manifiesto cómo la IA está transformando el trabajo de investigación en ciberseguridad. Los sistemas que son automatizados pueden ayudar a analizar grandes cantidades de código, detectar patrones y localizar posibles vulnerabilidades que requieren una revisión.

Es importante destacar que la IA no ha provocado las vulnerabilidades de PHP, puesto que están relacionadas con el funcionamiento del software y la IA ha sido un apoyo para identificar y analizar.

Este avance plantea nuevos desafíos donde se busca mejorar la seguridad en aquellos puntos débiles para parar la entrada de atacantes, por lo que combinar herramientas automatizadas y la supervisión humana será más relevante en la protección de los sistemas digitales en un futuro cercano.

La seguridad web, una inversión en continuidad y confianza

La aparición de PHP2Shell destaca la importancia de mantener actualizados los sistemas que hacen que funcione internet.

Aunque no todas las páginas web que están desarrolladas con PHP se encuentran vulnerables, es importante realizar una comprobación del estado de sus servidores y realizar las correcciones de seguridad pertinentes.

En Naftic entendemos que una página profesional debe combinar diseño, funcionalidad, rendimiento y seguridad. Por ello, nuestro equipo de diseño y desarrollo web, contempla la evolución tecnológica y la protección de sistemas de los proyectos digitales.

Porque una presencia digital no consiste únicamente en atraer visitas o generar conversiones, implica ofrecer al usuario un entorno seguro y fiable que garantice la continuidad de la actividad online.

Contacta con nosotros para mantener tu escaparate digital activo de manera continua.