Aviso de seguridad: vulnerabilidad crítica de PHP «PHP2Shell» — compruebe ahora la versión de PHP de su servidor
Revisado por expertos
Estimados clientes de SeekLab:
El 20 de octubre se filtraron, antes de su divulgación oficial, detalles sobre dos vulnerabilidades críticas de ejecución remota de código en PHP, conocidas como PHP2Shell (CVE-2026-109618 / CVE-2026-109619). El proyecto PHP publicó correcciones de emergencia el 21 de octubre a las 14:00 UTC.
Muchos de nuestros clientes utilizan plataformas basadas en PHP, como WordPress y WooCommerce. Estas vulnerabilidades se encuentran en el propio entorno de ejecución de PHP, por lo que actualizar WordPress, los temas o los plugins no las corregirá. Es necesario actualizar PHP en el servidor. Revise su entorno lo antes posible.
1. ¿Qué tan grave es?
- Toma de control remota del servidor sin iniciar sesión: El atacante no necesita una cuenta. Una solicitud especialmente manipulada puede ser suficiente para ejecutar código arbitrario en el servidor, lo que podría permitirle modificar páginas, insertar enlaces de spam o redirecciones maliciosas, o robar la base de datos.
- Gravedad casi máxima: Ha recibido una puntuación de 9,2 en CVSS v4.0 y de 9,8 sobre 10 por parte de la base de datos estadounidense NVD.
- Impacto muy amplio: Prácticamente todas las versiones de PHP desde la 5.4 están afectadas. Los servidores que ejecutan Apache con mod_php presentan el mayor riesgo.
- Los ataques ya han comenzado: Cloudflare, watchTowr y otras empresas de seguridad han observado intentos de explotación. Tanto la agencia estadounidense CISA como el NCSC del Reino Unido han emitido alertas.
Por qué es importante para el SEO: Un sitio comprometido suele acabar con enlaces de spam insertados, redirecciones ocultas o código malicioso. Como consecuencia, los motores de búsqueda pueden mostrar una advertencia como «Este sitio puede haber sido hackeado», reducir su posicionamiento o eliminarlo del índice. El tráfico y las posiciones construidos durante años pueden caer drásticamente en muy poco tiempo.
2. Compruebe su versión de PHP
| Rama de PHP | Actualice, como mínimo, a |
|---|---|
| 8.5.x | 8.5.12 |
| 8.4.x | 8.4.27 |
| 8.3.x | 8.3.36 |
| 8.2.x | 8.2.35 |
| 8.1 y anteriores | El proyecto PHP ya no las actualiza. Utilice una compilación corregida de su distribución del sistema operativo o proveedor de alojamiento, o migre a una versión compatible lo antes posible |
Cómo comprobarlo:
# En el servidor
php -v
php-fpm -v
# Implementaciones con Docker: compruébelo dentro del contenedor
docker exec <nombre-del-contenedor> php -vNotas:
- La versión que muestra
php -ven la línea de comandos puede ser diferente de la que utiliza realmente su sitio web. Confirme también la versión de PHP-FPM o del módulo de Apache. - Usuarios de Docker: Actualice la imagen base a una etiqueta que incluya la corrección, vuelva a compilar y despliegue de nuevo. Asegúrese también de actualizar cualquier imagen de terceros.
- Ubuntu, Debian, RHEL y otras distribuciones: La numeración de las versiones corregidas de las distribuciones puede ser diferente de la numeración oficial de PHP. Siga el aviso de seguridad de su distribución y actualice mediante el gestor de paquetes del sistema.
- Alojamiento compartido o WordPress administrado: Póngase en contacto con su proveedor de alojamiento y solicite confirmación por escrito de que la compilación de PHP utilizada por su sitio incluye esta corrección. Los usuarios de VPS y servidores en la nube normalmente tendrán que actualizar PHP por su cuenta.
- Después de actualizar, reinicie PHP-FPM o el servidor web y vuelva a comprobar la versión.
3. Medidas temporales si todavía no puede actualizar
Estas medidas solo reducen el riesgo. Actualizar PHP es la única solución completa.
- Establezca
session.upload_progress.enabled = 0en php.ini y reinicie todos los procesos de PHP. - Active la protección de un WAF. Por ejemplo, Cloudflare ha desplegado de forma predeterminada reglas de protección para estas vulnerabilidades. Los usuarios de planes de pago deben confirmar que las reglas estén configuradas en «Block».
- Limite el tamaño del cuerpo de las solicitudes —por ejemplo, mediante
post_max_size— y restrinja las solicitudes de carga de archivos en el servidor web o proxy.
4. Cómo saber si su servidor ha sido comprometido
Revise los registros del servidor desde el 20 de octubre en adelante, prestando especial atención a:
- Procesos de PHP o del servidor web que ejecuten shells o herramientas como curl o wget.
- Solicitudes inusuales de carga de archivos seguidas de errores por falta de memoria o errores HTTP 500 repetidos.
- Páginas, enlaces o redirecciones desconocidos en el sitio, o alertas de problemas de seguridad en Google Search Console.
Complete estas comprobaciones y actualizaciones lo antes posible para proteger tanto la seguridad de su sitio web como su posicionamiento en buscadores.
El equipo de SeekLab
22 de octubre de 2026
