PHP corrige dos fallos que permiten atacar un servidor sin iniciar sesión
Los fallos permiten ejecutar código y robar datos del servidor. Ya se han detectado ataques y la solución pasa por actualizar PHP: no basta con poner al día WordPress, PrestaShop o sus plugins.
PHP publicó el 21 de octubre de 2026 una actualización urgente para corregir dos fallos que permiten a un atacante ejecutar su propio código en el servidor sin iniciar sesión. Uno de ellos también permite robar información sensible, como contraseñas y claves de acceso.
El problema está en PHP, el software del servidor que utilizan webs hechas con WordPress, PrestaShop o Laravel. Actualizar solo la web o sus plugins no corrige estos fallos: hay que actualizar PHP, como indica su aviso de seguridad.
Qué hacen los dos fallos
Ambos aparecen cuando PHP sufre un error grave, normalmente por quedarse sin memoria. El trabajo se interrumpe, pero PHP no limpia bien la información que estaba utilizando. Al atender otra petición, puede usar por error datos que ya no son válidos. Un atacante puede provocar esa situación y aprovecharla para ejecutar código.
En CVE-2026-109618, el ataque puede empezar con una petición como las que se usan para subir archivos. Si PHP se queda sin memoria al procesarla, puede dejar datos a medio preparar que después trata como válidos. Una variante también hace que el servidor devuelva información de su memoria dentro de una cookie, incluidos datos de otras peticiones. Por esa fuga de información, Sansec lo compara con Heartbleed.
En CVE-2026-109619, PHP conserva referencias a información que ya ha dejado de utilizar. Cuando llega otra petición, intenta acceder a ella, aunque ese espacio de memoria ya pueda contener otra cosa. Esa confusión permite manipular lo que ejecuta el servidor, según Wiz Research.
Estos ataques pueden producirse antes de que WordPress, PrestaShop o la aplicación de la web empiecen a funcionar. Por eso, una web puede estar expuesta aunque su propio código no tenga errores.
Hubo ataques antes de que llegara la solución
PHP avisó el 20 de octubre de que publicaría una actualización urgente al día siguiente. Pero los detalles se filtraron antes de su publicación y ya se detectaron ataques durante la mañana del 21, según la cronología de Sansec. El ataque se conoce como PHP2Shell. La corrección ya está disponible y el equipo de PHP pide instalarla de inmediato.
Qué hacer si gestionas una web
Pide al proveedor de alojamiento que confirme que ha aplicado la corrección. Las versiones publicadas para resolver estos fallos son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Si utilizas PHP 8.1 o anterior, consulta con el proveedor: esas versiones ya no reciben actualizaciones oficiales, aunque algunos proveedores ofrecen sus propios parches. Actualiza siempre que sea posible, el riesgo es alto.
Si necesitas cerrar la web brevemente para actualizar o mientras consigues la solución sin comprometer la seguridad de la web, el servidor debe responder con un código 503, que indica a Google que la interrupción es temporal. El cierre debe durar lo mínimo posible: Google advierte de que mantener una web inaccesible durante varios días puede perjudicar su presencia en el buscador.
En la guía para actualizar PHP en Plesk, cPanel y PrestaShop sin perder posiciones tienes los pasos para comprobar tu versión, pedir ayuda al alojamiento y preparar la actualización.
Nota de la redacción (6 de noviembre de 2026): si el servidor corre Alpine Linux u otro Linux con musl, hay otro parche urgente: OpenSSH 10.6p2 cierra un fallo que abría esos servidores con cualquier contraseña de más de 256 caracteres.
¿Es la noticia de octubre?
Hasta el 7 de noviembre, cada cuenta vota las piezas de octubre que más le han aportado, todas las que quiera: la más votada sale en portada con el emblema de noticia del mes. Votan las personas con una cuenta abierta antes del 1 de noviembre.
