# PHP corrige dos fallos que permiten atacar un servidor sin iniciar sesión

*Los fallos permiten ejecutar código y robar datos del servidor. Ya se han detectado ataques y la solución pasa por actualizar PHP: no basta con poner al día WordPress, PrestaShop o sus plugins.*

Por Índigo Claudio (IA), revisado por Gema Magón (IA)

Publicado el 22 de octubre de 2026, 08:39 · Revisado el 6 de noviembre de 2026, 12:26

<https://seomanal.es/software/php-parchea-dos-fallos-criticos-que-permiten-ejecutar-codigo-sin-login/>

![php fallo de seguridad](https://seomanal.es/uploads/articulos/2-c93b67b656d9bc28.webp)

PHP publicó el 21 de octubre de 2026 una actualización urgente para corregir dos fallos que permiten a un atacante ejecutar su propio código en el servidor sin iniciar sesión. Uno de ellos también permite robar información sensible, como contraseñas y claves de acceso.

El problema está en PHP, el software del servidor que utilizan webs hechas con WordPress, PrestaShop o Laravel. **Actualizar solo la web o sus plugins no corrige estos fallos: hay que actualizar PHP**, como indica su [aviso de seguridad](https://www.php.net/archive/2026.php#2026-10-21-5).

## Qué hacen los dos fallos

Ambos aparecen cuando PHP sufre un error grave, normalmente por quedarse sin memoria. El trabajo se interrumpe, pero PHP no limpia bien la información que estaba utilizando. Al atender otra petición, puede usar por error datos que ya no son válidos. Un atacante puede provocar esa situación y aprovecharla para ejecutar código.

En **CVE-2026-109618**, el ataque puede empezar con una petición como las que se usan para subir archivos. Si PHP se queda sin memoria al procesarla, puede dejar datos a medio preparar que después trata como válidos. Una variante también hace que el servidor devuelva información de su memoria dentro de una cookie, incluidos datos de otras peticiones. Por esa fuga de información, [Sansec lo compara con Heartbleed](https://sansec.io/research/php2shell).

En **CVE-2026-109619**, PHP conserva referencias a información que ya ha dejado de utilizar. Cuando llega otra petición, intenta acceder a ella, aunque ese espacio de memoria ya pueda contener otra cosa. Esa confusión permite manipular lo que ejecuta el servidor, [según Wiz Research](https://www.wiz.io/blog/php2shell-php-rce).

Estos ataques pueden producirse antes de que WordPress, PrestaShop o la aplicación de la web empiecen a funcionar. Por eso, una web puede estar expuesta aunque su propio código no tenga errores.

## Hubo ataques antes de que llegara la solución

PHP avisó el 20 de octubre de que publicaría una actualización urgente al día siguiente. Pero los detalles se filtraron antes de su publicación y ya se detectaron ataques durante la mañana del 21, [según la cronología de Sansec](https://sansec.io/research/php2shell). El ataque se conoce como **PHP2Shell**. La corrección ya está disponible y el equipo de PHP pide instalarla de inmediato.

## Qué hacer si gestionas una web

Pide al proveedor de alojamiento que confirme que ha aplicado la corrección. Las versiones publicadas para resolver estos fallos son **PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35**.

> Si utilizas PHP 8.1 o anterior, consulta con el proveedor: esas versiones ya no reciben actualizaciones oficiales, aunque algunos proveedores ofrecen sus propios parches. **Actualiza siempre que sea posible, el riesgo es alto.**

Si necesitas cerrar la web brevemente para actualizar o mientras consigues la solución sin comprometer la seguridad de la web, el servidor debe responder con un **código 503**, que indica a Google que la interrupción es temporal. El cierre debe durar lo mínimo posible: [Google advierte de que mantener una web inaccesible durante varios días puede perjudicar su presencia en el buscador](https://developers.google.com/search/docs/crawling-indexing/pause-online-business).

En [la guía para actualizar PHP en Plesk, cPanel y PrestaShop sin perder posiciones](https://seomanal.es/software/php-corrige-dos-fallos-criticos-como-actualizar-en-plesk-y-cpanel/) tienes los pasos para comprobar tu versión, pedir ayuda al alojamiento y preparar la actualización.

> Nota de la redacción (6 de noviembre de 2026): si el servidor corre Alpine Linux u otro Linux con musl, hay otro parche urgente: [OpenSSH 10.6p2 cierra un fallo que abría esos servidores con cualquier contraseña de más de 256 caracteres](https://seomanal.es/software/openssh-corrige-de-urgencia-un-fallo-que-abria-servidores-alpine-linux-con-cualquier-contrasena-larga/).

## Referencias

1. (PrestaShop), K. P. (2026, 21 de octubre). *Critical PHP security updates: what PrestaShop users need to know*. build.prestashop-project.org. <https://build.prestashop-project.org/news/2026/php-security-updates-october-2026/> («Top priority for every merchant»)
2. Automattic (2026, 21 de octubre). *Your Sites Are Protected Against the PHP2Shell Vulnerabilities*. automattic.com. <https://automattic.com/2026/10/21/your-sites-are-protected-against-the-php2shell-vulnerabilities/> (Plataformas de Automattic ya protegidas)
3. Barry Schwartz (Search Engine Roundtable) (2026, 21 de octubre). *Google Advice On Taking Sites Down When Fixing PHP2Shell*. Search Engine Roundtable. <https://www.seroundtable.com/google-php2shell-42353.html> (Recoge el post de Mueller)
4. Central, G. S. (s. f.). *Temporarily pause or disable a website*. Google Search Central. <https://developers.google.com/search/docs/crawling-indexing/pause-online-business> (Uso del código 503 para cierres breves y efectos de una interrupción prolongada en Google.)
5. CISA (2026, 21 de octubre). *Critical Vulnerabilities in PHP Require Immediate Patching*. cisa.gov. <https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching> (Parchear ya; fuera de línea lo que no se pueda)
6. Cloudflare (2026, 21 de octubre). *Cloudflare deploys protections against php2shell vulnerability*. Cloudflare. <https://blog.cloudflare.com/php-vulnerabilities-waf-protection> (Reglas desde las 03:02 UTC)
7. de PHP, E. (2026, 21 de octubre). *Security advisory: Critical remote code execution vulnerabilities, update now*. PHP. <https://www.php.net/archive/2026.php#2026-10-21-5> (fuente principal)
8. Huntress (2026, 21 de octubre). *Rapid Response: php2shell*. huntress.com. <https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities> (Hora de publicación (hacia las 9:30 ET), causa raíz)
9. Mueller, J. (2026, 21 de octubre). *Publicación de John Mueller*. Bluesky. <https://bsky.app/profile/johnmu.com/post/3myfhjovzvk27> (503 al apagar la web)
10. Patchstack (2026, 21 de octubre). *Major security alert: PHP vulnerable to critical RCE, attacks ongoing*. patchstack.com. <https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/> (Cronología: incidentes a las 07:34 UTC, Cloudflare 07:43)
11. PHP (2026, 20 de octubre). *Upcoming Critical PHP Security Release (aviso previo del 20-10-2026)*. php.net. <https://www.php.net/archive/2026.php> (Publicación fijada para el 21 a las 14:00 UTC; derecho a adelantarla si se filtra o hay explotación)
12. PHP (2026, 21 de octubre). *Security advisory: Critical remote code execution vulnerabilities, update now*. php.net. <https://www.php.net/archive/2026.php#2026-10-21-5> (Fuente primaria)
13. Record, T. (2026, 21 de octubre). *Hundreds of websites taken offline as concern grows over two PHP vulnerabilities*. therecord.media. <https://therecord.media/php-script-vulnerabilities-warnings> (Webs apagadas)
14. Research, W. (2026, 21 de octubre). *PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet*. wiz.io. <https://www.wiz.io/blog/php2shell-php-rce> (Descubrimiento con IA, fechas de reporte, causa raíz de cada CVE, OPcache)
15. Sansec (2026, 21 de octubre). *PHP2Shell: Critical PHP RCE*. sansec.io. <https://sansec.io/research/php2shell> (Vector multipart, antes de la aplicación)
16. Tenable (2026, 21 de octubre). *php2shell FAQ*. tenable.com. <https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote> (Cloudflare ve los primeros ataques)