PHP lanza parches de urgencia por dos fallos críticos llamados PHP2Shell con ataques en curso

La comunidad de PHP ha publicado actualizaciones de emergencia para corregir dos vulnerabilidades críticas, conocidas de forma conjunta como PHP2Shell, que permiten la ejecución remota de código sin autenticación en servidores que ejecutan versiones vulnerables del motor de ejecución (runtime). Los fallos, catalogados como CVE-2026-109618 y CVE-2026-109619, alcanzan una puntuación de 9,2 en la escala CVSS v4.0 y llegan en un momento delicado: ya circulan intentos de explotación y se han visto ajustes de carga maliciosa para esquivar las reglas de los WAF (sistemas de protección contra ataques web).

El riesgo es alto porque la exposición no depende del código de su página web; si el servidor usa una versión afectada, puede ser atacado incluso con páginas muy sencillas. El peligro aumenta en servidores Apache con mod_php, donde el ataque puede activarse antes de que se ejecute el código de su aplicación. Además, un atacante podría extraer información sensible que esté en la memoria RAM del servidor, como contraseñas, tokens, claves de API o certificados.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Tras actualizar, es indispensable reiniciar Apache, PHP-FPM y cualquier proceso persistente para asegurar que el sistema cargue la versión parcheada. Para quienes no puedan actualizar de inmediato, se recomienda como medida de contención desactivar 'session.upload_progress.enabled' y, en el caso del fallo CVE-2026-109618, fijar el límite de memoria (memory_limit) para evitar que la aplicación lo sobrescriba.

Qué significa para una pyme colombiana y cucuteña: Si su empresa tiene un sitio web o un sistema de facturación que use PHP, debe actuar de inmediato. Primero, verifique si su servidor usa las versiones afectadas (8.5.12, 8.4.27, 8.3.36 o 8.2.35 o anteriores). Segundo, aplique la actualización y, muy importante, reinicie los servicios (Apache o PHP-FPM), pues si solo instala el parche pero no reinicia, el servidor seguirá siendo vulnerable. Si no tiene personal técnico, contacte a su proveedor de hosting hoy mismo y pídale que confirme la aplicación de estos parches de seguridad para PHP.