[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php":3,"prev-/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php":407,"next-/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php":386,"related-/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php":410,"author-Diego Herrera":428},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":363,"cta":364,"date":369,"dateModified":369,"description":370,"draft":371,"extension":372,"faq":373,"featured":371,"howto":386,"image":387,"imageAlt":388,"intent":389,"keywords":390,"meta":395,"navigation":396,"path":397,"publishedTime":398,"readingTime":399,"seo":400,"seoTitle":401,"stem":402,"tags":403,"__hash__":406},"blog/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php.md","PHP2Shell: dos fallas críticas en PHP permiten tomar servidores web sin contraseña; ya hay parche y ya hay ataques","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":353},"minimark",[11,19,26,29,34,115,118,121,125,136,139,173,176,180,198,201,219,235,238,242,313,317,335],[12,13,14,18],"p",{},[15,16,17],"strong",{},"El proyecto PHP publicó este miércoles 21 de octubre de 2026 actualizaciones de emergencia para dos fallas críticas, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en un servidor web sin usuario ni contraseña."," El aviso oficial en php.net es tajante: no hay mitigaciones completas y actualizar es la única opción segura.",[12,20,21,22,25],{},"La pareja de fallas ya tiene nombre, ",[15,23,24],{},"PHP2Shell",", y ya tiene ataques. Patchstack reportó intentos de explotación contra proveedores de hosting horas antes del parche, y Cloudflare confirmó ataques tempranos.",[12,27,28],{},"PHP es el lenguaje detrás de WordPress, WooCommerce, Magento, Moodle y buena parte de los portales de proveedores, intranets y tiendas en línea de las PyMEs mexicanas. Si tu empresa tiene un sitio web, lo más probable es que esta noticia te toque.",[30,31,33],"h2",{"id":32},"qué-se-corrigió","Qué se corrigió",[35,36,37,50],"table",{},[38,39,40],"thead",{},[41,42,43,47],"tr",{},[44,45,46],"th",{},"Dato",[44,48,49],{},"Detalle",[51,52,53,62,70,78,86,97,107],"tbody",{},[41,54,55,59],{},[56,57,58],"td",{},"Fallas",[56,60,61],{},"CVE-2026-109618 (corrupción de memoria al agotarse la memoria) y CVE-2026-109619 (estado interno que sobrevive entre peticiones)",[41,63,64,67],{},[56,65,66],{},"Impacto",[56,68,69],{},"Ejecución remota de código sin autenticación",[41,71,72,75],{},[56,73,74],{},"Gravedad",[56,76,77],{},"CVSS 4.0: 9.2 (aviso de PHP del 20 de octubre); la filtración previa hablaba de 10.0",[41,79,80,83],{},[56,81,82],{},"Afecta a",[56,84,85],{},"Toda instalación que atiende peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed",[41,87,88,91],{},[56,89,90],{},"Mayor riesgo",[56,92,93,96],{},[15,94,95],{},"mod_php",": el ataque se dispara antes de que corra cualquier código de la aplicación",[41,98,99,102],{},[56,100,101],{},"Versiones corregidas",[56,103,104],{},[15,105,106],{},"8.5.12, 8.4.27, 8.3.36 y 8.2.35",[41,108,109,112],{},[56,110,111],{},"PHP 8.1 y anteriores",[56,113,114],{},"Sin actualización oficial; correcciones mínimas en código fuente para 7.4, 8.0 y 8.1",[12,116,117],{},"Fuentes: aviso de seguridad de php.net (21 de octubre de 2026) e IT Pro.",[12,119,120],{},"En palabras simples: un atacante manda una petición armada a propósito, normalmente un envío de formulario con archivos, que hace que PHP se quede sin memoria a la mitad de su trabajo. Al limpiar, PHP trata datos basura como si fueran válidos, y eso abre la puerta para correr comandos en el servidor. No hace falta que el sitio tenga un formulario de carga visible.",[30,122,124],{"id":123},"cómo-se-llegó-aquí","Cómo se llegó aquí",[12,126,127,128,131,132,135],{},"La falla la descubrieron por separado los investigadores de ",[15,129,130],{},"Wiz"," y de ",[15,133,134],{},"Calif"," entre agosto y septiembre, y la reportaron al proyecto PHP, que empezó a preparar el parche en coordinación. El martes 20 de octubre se filtró su existencia antes de tiempo, y esa misma tarde la PHP Foundation anunció la publicación de emergencia para el día siguiente.",[12,137,138],{},"En hora del centro de México, la secuencia del miércoles 21, según el seguimiento en vivo de Precursor Security, fue así:",[140,141,142,149,155,161,167],"ul",{},[143,144,145,148],"li",{},[15,146,147],{},"1:12 a. m.",": el NCSC, la agencia de ciberseguridad del Reino Unido, emite alerta.",[143,150,151,154],{},[15,152,153],{},"1:34 a. m.",": Patchstack reporta intentos de explotación en proveedores de hosting.",[143,156,157,160],{},[15,158,159],{},"5:56 a. m.",": el NCSC recomienda sacar de línea los sistemas que no puedan parcharse de inmediato; gobiernos y universidades de Finlandia y Países Bajos desconectan servicios.",[143,162,163,166],{},[15,164,165],{},"Cerca de las 8:00 a. m.",": salen las versiones corregidas.",[143,168,169,172],{},[15,170,171],{},"8:31 a. m.",": ya hay más de 100 repositorios con pruebas de concepto en GitHub, algunos con malware para quien los descargue.",[12,174,175],{},"Tenable, por su parte, no había logrado verificar ninguno de esos exploits a media mañana. Eso no es razón para esperar: la firma de seguridad para comercio electrónico Sansec anticipó explotación masiva en cuanto se publicara el parche.",[30,177,179],{"id":178},"por-qué-es-peor-que-la-falla-de-un-complemento","Por qué es peor que la falla de un complemento",[12,181,182,183,188,189,193,194,197],{},"Estamos acostumbrados a avisos de ",[184,185,187],"a",{"href":186},"/blog/noticias/rank-math-seo-pro-malware-wordpress-cve-2026-111862","complementos de WordPress explotados"," o de ",[184,190,192],{"href":191},"/blog/noticias/woocommerce-wholesale-lead-capture-webshell","plugins de WooCommerce usados para meter puertas traseras",". Esta vez el problema está una capa más abajo, en el intérprete que ejecuta todo lo demás. Según el seguimiento de Precursor Security, los investigadores demostraron ejecución de código sin iniciar sesión contra ",[15,195,196],{},"WordPress, Drupal, Joomla, Magento, Nextcloud, phpMyAdmin, Roundcube, Laravel, Symfony y WHMCS"," con su configuración de fábrica.",[12,199,200],{},"Dos agravantes para las PyMEs:",[140,202,203,213],{},[143,204,205,208,209,212],{},[15,206,207],{},"Versiones viejas."," Muchos sitios de WordPress y Joomla siguen en PHP 8.1 o anterior, que ya no recibe actualizaciones oficiales. Y PHP 8.2, aunque hoy sí recibió parche, llega a fin de vida el ",[15,210,211],{},"31 de diciembre de 2026",", según php.net.",[143,214,215,218],{},[15,216,217],{},"El parche depende de alguien más."," En hosting compartido, el que actualiza es el proveedor. cPanel estaba preparando paquetes de PHP 7.4 a 8.5 durante el día, y algunos repositorios populares de Linux avisaron que no tendrían la actualización el mismo miércoles. Ubuntu, Debian, Red Hat y CloudLinux recibieron la corrección antes de su publicación.",[220,221,224],"callout",{"icon":222,"title":223},"i-lucide-triangle-alert","Actualizar WordPress no te protege",[12,225,226,227,230,231,234],{},"El panel de WordPress puede decir \"todo al día\" y el servidor seguir vulnerable. Lo que hay que revisar es la ",[15,228,229],{},"versión de PHP"," del servidor o del plan de hosting. Y después de actualizar hay que ",[15,232,233],{},"reiniciar PHP-FPM o Apache",": el proceso viejo sigue atendiendo visitas hasta que se reinicia.",[236,237],"ad-banner",{},[30,239,241],{"id":240},"qué-hacer-hoy","Qué hacer hoy",[243,244,245,251,266,272,278,296,307],"ol",{},[143,246,247,250],{},[15,248,249],{},"Haz la lista de todo lo que corre PHP."," Sitio web, tienda en línea, portal de proveedores, intranet, Moodle, phpMyAdmin, paneles de control, sistemas de tickets. No olvides los equipos \"que nadie toca\", como el servidor de pruebas o la tienda vieja que sigue en línea.",[143,252,253,256,257,261,262,265],{},[15,254,255],{},"Averigua la versión exacta."," En tu panel de hosting suele aparecer como \"versión de PHP\" o \"selector de PHP\". En un servidor propio, ",[258,259,260],"code",{},"php -v"," responde; en Debian o Ubuntu, ",[258,263,264],{},"dpkg -l | grep php"," muestra la revisión del paquete. Como las distribuciones aplican el parche a versiones viejas, compara contra su aviso de seguridad, no solo contra el número.",[143,267,268,271],{},[15,269,270],{},"Actualiza y reinicia."," Lleva PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o al paquete corregido de tu distribución, y reinicia los servicios. Si usas contenedores, reconstruye la imagen con la base parchada y vuelve a desplegar.",[143,273,274,277],{},[15,275,276],{},"Si estás en hosting compartido, escribe hoy a tu proveedor."," Pregunta qué versión de PHP tiene tu cuenta, si ya aplicó la corrección y a qué hora. Si te dice que tu versión ya no tiene soporte, sube de versión, aunque implique probar complementos.",[143,279,280,283,284,287,288,291,292,295],{},[15,281,282],{},"Si no puedes parchar hoy, reduce la exposición."," Activa un firewall de aplicaciones: Cloudflare publicó reglas, algunas en su plan gratuito. Aplica las mitigaciones temporales del aviso de php.net, como ",[258,285,286],{},"session.upload_progress.enabled = 0"," y un ",[258,289,290],{},"post_max_size"," bajo, en ",[258,293,294],{},"php.ini"," o en el pool de FPM. En sistemas internos, sácalos de internet y déjalos solo tras VPN. El NCSC británico recomienda desconectar lo que no se pueda actualizar.",[143,297,298,301,302,306],{},[15,299,300],{},"Busca señales de intrusión."," Si tu sitio estuvo expuesto sin parche desde el 20 de octubre, revisa archivos PHP nuevos en la carpeta pública, tareas programadas (cron) desconocidas, usuarios administradores que nadie creó y procesos de PHP que lanzan comandos del sistema. Si encuentras algo, aísla el servidor y conserva los registros antes de limpiar. Un ",[184,303,305],{"href":304},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldo fuera del servidor"," es lo que te permite volver a un punto limpio.",[143,308,309,312],{},[15,310,311],{},"No descargues los exploits \"para probar\"."," Varios de los publicados en GitHub traen malware.",[30,314,316],{"id":315},"el-patrón-de-fondo","El patrón de fondo",[12,318,319,320,324,325,329,330,334],{},"Es la segunda vez hoy que contamos una falla que vive debajo de WordPress y no en WordPress: esta mañana fue ",[184,321,323],{"href":322},"/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores","Ghostscript y los PDF que toman servidores",", y a principios de mes, ",[184,326,328],{"href":327},"/blog/noticias/apache-2-4-69-20-vulnerabilidades-actualizar","las 20 vulnerabilidades de Apache 2.4.69",". El sitio es tan seguro como la pieza más vieja del servidor. La ",[184,331,333],{"href":332},"/blog/tutorial/hardening-servidores-linux","guía de hardening de servidores Linux"," explica cómo mantener al día el sistema y no solo la aplicación.",[12,336,337,338,342,343,347,348,352],{},"Si no tienes claro quién actualiza PHP en tu sitio o tu ",[184,339,341],{"href":340},"/soluciones/e-commerce","tienda en línea",", en ",[184,344,346],{"href":345},"/servicios/servidores","servidores"," y ",[184,349,351],{"href":350},"/servicios/ciberseguridad","ciberseguridad"," hacemos el inventario, aplicamos el parche correcto, reiniciamos servicios y revisamos que nadie haya entrado antes.",{"title":354,"searchDepth":355,"depth":356,"links":357},"",2,3,[358,359,360,361,362],{"id":32,"depth":355,"text":33},{"id":123,"depth":355,"text":124},{"id":178,"depth":355,"text":179},{"id":240,"depth":355,"text":241},{"id":315,"depth":355,"text":316},"noticias",{"title":365,"description":366,"label":367,"to":350,"icon":368},"¿No sabes qué versión de PHP corre tu sitio o tu portal?","Inventariamos tus servidores y sitios, actualizamos PHP con el paquete correcto de tu sistema, reiniciamos servicios y buscamos señales de intrusión.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-21","PHP corrigió el 21 de octubre dos fallas críticas que permiten tomar servidores sin iniciar sesión, en WordPress y más. Versiones seguras y qué hacer hoy.",false,"md",[374,377,380,383],{"question":375,"answer":376},"¿Qué versiones de PHP corrigen PHP2Shell?","PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026 según el aviso oficial de php.net. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto: el equipo de seguridad publicó correcciones mínimas para 7.4, 8.0 y 8.1 en código fuente, pensadas para quien compila PHP, y algunas distribuciones y proveedores de soporte extendido ya tienen paquetes. Si tu hosting usa una de esas versiones viejas, pregúntale qué parche aplicó.",{"question":378,"answer":379},"¿Mi sitio en WordPress está afectado?","Si corre sobre un PHP sin actualizar, sí. El aviso de PHP dice que afecta a todas las instalaciones que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los investigadores que reportaron la falla demostraron ejecución de código sin iniciar sesión contra WordPress y Drupal, y el seguimiento de Precursor Security lista también Joomla, Magento, Nextcloud, phpMyAdmin, Laravel y WHMCS con configuración de fábrica. Actualizar WordPress o sus complementos no sirve: lo que hay que actualizar es PHP.",{"question":381,"answer":382},"¿Ya se está explotando?","Hay intentos. Patchstack reportó intentos de explotación contra proveedores de hosting la mañana del 21 de octubre, antes del parche, y Cloudflare confirmó ataques tempranos y publicó reglas de su firewall de aplicaciones (WAF). Al cierre de esta nota no encontramos confirmación pública de intrusiones exitosas, y Tenable no había podido verificar ninguno de los exploits publicados. Con más de 100 repositorios de pruebas de concepto en GitHub, conviene asumir que los ataques masivos vienen en horas, no en semanas.",{"question":384,"answer":385},"¿Puedo protegerme cambiando la configuración de PHP sin actualizar?","Solo en parte. El aviso de php.net da mitigaciones temporales, como desactivar session.upload_progress.enabled y limitar post_max_size, pero dice textualmente que no hay mitigaciones completas y que actualizar es la única opción segura. Esas opciones tienen que ir en php.ini o en el pool de FPM, no en .user.ini ni con ini_set(), y hay que reiniciar los procesos.",null,"/images/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php.jpg","Servidor web con el logotipo genérico de un elefante de código y una alerta roja de ejecución remota","informational",[391,392,393,394],"php2shell","cve-2026-109618","cve-2026-109619","actualizar php 8.4.27",{},true,"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","2026-10-21T17:00:00-06:00",5,{"title":5,"description":370},"PHP2Shell CVE-2026-109618: actualiza PHP hoy","blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php",[351,346,404,405],"wordpress","parches","QiDIjhSkQKwyhYJWNQV7PxFIsMEbAdUtgLH_h46n0RA",{"path":408,"title":409},"/blog/noticias/senado-aprueba-ley-economia-digital-pagos","El Senado aprobó la Ley de Economía Digital: ya solo falta el DOF para que Hacienda elija dónde no habrá efectivo",[411,417,423],{"path":412,"title":413,"description":414,"date":369,"category":363,"image":415,"imageAlt":416,"readingTime":399},"/blog/noticias/senado-comisiones-aprueban-ley-ingresos-isr-2027-sin-cambios","Comisiones del Senado aprueban sin cambios la Ley de Ingresos, el ISR y Derechos 2027; el pleno votaría el martes 27","Comisiones del Senado aprobaron 18 a 11 la Ley de Ingresos, el ISR y Derechos 2027 tal como llegaron de Diputados. Qué cambia para tu empresa y qué sigue.","/images/blog/noticias/senado-comisiones-aprueban-ley-ingresos-isr-2027-sin-cambios.jpg","Sala de comisiones del Senado con legisladores votando y carpetas del paquete económico 2027 sobre la mesa",{"path":418,"title":419,"description":420,"date":369,"category":363,"image":421,"imageAlt":422,"readingTime":399},"/blog/noticias/ley-economia-digital-sectores-solo-pago-digital","Ley de Economía Digital: Hacienda decidirá dónde ya no se acepta efectivo; cómo preparar tu cobro","Con la Ley de Economía Digital aprobada, Hacienda tendrá 15 días hábiles tras el DOF para fijar sectores solo con pago digital. Cómo preparar tu cobro.","/images/blog/noticias/ley-economia-digital-sectores-solo-pago-digital.jpg","Terminal de cobro con código QR en el mostrador de un comercio mexicano junto a una caja registradora sin billetes",{"path":322,"title":424,"description":425,"date":369,"category":363,"image":426,"imageAlt":427,"readingTime":399},"Ghostscript: un PDF con una imagen trampa puede tomar el control de servidores que generan vistas previas","CVE-2026-39919 en Ghostscript permite ejecutar código con un PDF manipulado en sistemas que generan miniaturas. El parche existe, pero no ha llegado a todos.","/images/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores.jpg","Documento PDF entrando a un servidor web con una alerta roja sobre la vista previa generada",{"id":429,"avatar":386,"bio":430,"entityType":431,"expertise":432,"extension":433,"meta":434,"name":6,"role":435,"slug":436,"social":386,"stem":437,"url":7,"__hash__":438},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]