PHP publicó el 21 de octubre de 2026, a las 9:00 de Lima, las versiones que corrigen dos fallos críticos ya conocidos como PHP2Shell. Permiten ejecutar código en el servidor sin iniciar sesión. Cloudflare dice que vio tráfico de ataque tras una filtración. Afecta a cualquier web con PHP, como WordPress o Drupal.
Lo que se sabe
- Las versiones corregidas: según el aviso de php.net del 21 de octubre, son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los fallos son CVE-2026-109618 y CVE-2026-109619.
- A quién afecta: php.net dice que a todas las instalaciones que atienden peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Considera mayor el riesgo con mod_php.
- Las versiones antiguas: PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. Por la gravedad, php.net publicó parches mínimos en código fuente para 7.4, 8.0 y 8.1, pensados para quien compila PHP o no tiene un proveedor con soporte extendido.
- La filtración: la PHP Foundation cuenta que los números de los fallos empezaron a circular el 20 de octubre hacia las 15:00 UTC, con una hora y una puntuación falsas (10 en vez de 9,2). Por eso adelantó la versión un día, del 22 al 21 de octubre.
- Los ataques: Cloudflare dice que vio tráfico de ataque contra sus clientes después de la filtración. La PHP Foundation, por su parte, dice que al publicar no había identificado ningún exploit que funcionara. Ninguna de las dos fuentes da cifras de webs comprometidas.
- La regla de Cloudflare: según su blog, desde las 03:02 UTC del 21 de octubre (22:02 del 20 en Lima) protege por defecto a todos los planes con su cortafuegos web (WAF), también el gratuito. Pide igualmente actualizar PHP.
- Cómo se encontró: la PHP Foundation explica que detectó los primeros indicios en 2024, pero el arreglo se atascó durante meses, algo que ella misma llama un fallo estructural. El 11 de agosto de 2026, la empresa Calif y OpenAI informaron por separado del mismo fallo de raíz. OpenAI dice que Calif lo encontró con el modelo GPT-5.6 Sol de OpenAI.
Qué cambia y qué no
Hasta ayer había que prepararse. Desde hoy hay parche y hay que aplicarlo.
Cloudflare insiste en que el fallo está en PHP, no en el código de la web. Actualizar WordPress, Drupal o los plugins no lo corrige: hay que actualizar PHP en el servidor.
La regla de Cloudflare ayuda, pero solo si el tráfico de tu web pasa por Cloudflare. Y la propia empresa la presenta como una capa extra, no como sustituto del parche. Lo mismo vale para los ajustes temporales que lista php.net: reducen la exposición, pero, según el aviso, no hacen segura la instalación.
Lo que viene es más de esto. OpenAI dice que estos fallos están entre «varias vulnerabilidades importantes» que ya encontró y que espera que esos hallazgos aumenten mucho en los próximos meses. La PHP Foundation dice que publicó 15 CVE desde el 1 de julio.
Qué hacer hoy
- Mira tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. En Drupal: Informes → Informe de estado. En muchos paneles de hosting sale en el selector de PHP.
- Compárala con esta lista:
- 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o superior: ya tienes la versión corregida.
- Una 8.2 a 8.5 más baja: falta actualizar dentro de tu misma rama.
- 8.1, 8.0 o 7.x: no hay versión oficial; pide al proveedor un paquete con el parche o planea pasar a 8.3 u 8.4.
- Si tienes hosting compartido, pregunta hoy: «¿Ya aplicaron la versión de seguridad de PHP del 21 de octubre (CVE-2026-109618 y CVE-2026-109619) en mi plan? Si no, ¿cuándo?». La versión que ves en el panel puede tardar en cambiar si el proveedor aplica el parche de su distribución.
- Si tu web pasa por Cloudflare, comprueba que el WAF esté activo. En los planes de pago, Cloudflare pide revisar que su conjunto de reglas gestionadas esté en modo de bloqueo.
- Si tienes VPS o servidor propio, quien lo administre debe instalar hoy los paquetes corregidos de la distribución y reiniciar PHP.
- Después de actualizar, abre las páginas clave, prueba formularios y pagos y vigila en Search Console si suben los errores del servidor.
- Deja lista una rutina. Si los parches urgentes van a ser más frecuentes, conviene saber quién actualiza PHP, el gestor de contenidos y los plugins, en cuánto tiempo, y tener copias de seguridad recientes.
Relacionado: PHP parcheará dos fallos críticos el 21 de octubre: qué hacer
Fuentes
- PHP, «Security advisory: Critical remote code execution vulnerabilities, update now», 21 de octubre de 2026 (en inglés)
- The PHP Foundation, «Today's PHP Security Release, and How We're Strengthening PHP Security», 21 de octubre de 2026 (en inglés)
- Cloudflare, «Cloudflare deploys protections against php2shell vulnerability», 21 de octubre de 2026 (en inglés)
- OpenAI, «Patch the Planet: global response coordination as agents uncover critical vulnerabilities», 21 de octubre de 2026 (en inglés)
Actualizaciones: sin cambios desde la publicación.