Última actualización: 23 de octubre de 2026

Dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, se llaman PHP2Shell. Quien llama desde fuera puede ejecutar código en un worker de PHP afectado sin iniciar sesión.

PHP es el lenguaje del lado del servidor de una gran parte de la web, a menudo estimada en cerca del 70 % de los sitios cuyo lenguaje del lado del servidor se conoce. Las tiendas en línea, los sitios de empresa y WordPress están en ese conjunto. El alcance práctico es el sitio y los archivos que ese proceso de PHP puede leer, no una llave para cada máquina de internet.

Este vídeo corto explica el alcance:

1. Qué ha pasado

El proyecto PHP publicó versiones de emergencia el 21 de octubre de 2026. La divulgación coordinada apuntaba al 22 de octubre. Los detalles circularon antes, así que las correcciones se adelantaron.

Los dos problemas están en el tratamiento de las peticiones. Uno aparece cuando se agota la memoria mientras PHP todavía construye la petición, y la limpieza posterior toca un estado que no se terminó. El otro aparece cuando un error fatal interrumpe la limpieza y deja un puntero antiguo. Quien ataca no necesita una cuenta en el sitio.

El proyecto PHP trata Apache con mod_php como el despliegue de mayor riesgo. PHP-FPM, php-cgi, FrankenPHP y LiteSpeed también están afectados. Que se pueda explotar de forma fiable sigue dependiendo de la disposición del proceso, pero la ejecución de código sin autenticación es el problema que los proveedores están corrigiendo.

2. Qué versiones actualizar

La corrección completa es una versión parcheada de PHP. Actualice y después reinicie los workers de PHP para que el binario nuevo sea el que atiende el tráfico.

• PHP 8.5: corregido en 8.5.12. Las compilaciones afectadas van de 8.5.0 a 8.5.11.
• PHP 8.4: corregido en 8.4.27. Las compilaciones afectadas van de 8.4.0 a 8.4.26.
• PHP 8.3: corregido en 8.3.36. Las compilaciones afectadas van de 8.3.0 a 8.3.35.
• PHP 8.2: corregido en 8.2.35. Las compilaciones afectadas van de 8.2.0 a 8.2.34.

PHP 8.1 y anteriores, incluidos 7.x y la línea desde 5.4, no tienen un binario oficial para CVE-2026-109618. Algunos proveedores de Linux han publicado sus propios paquetes. Si su servidor expuesto a internet sigue en un PHP al final de su vida y hoy no puede aplicar una corrección del proveedor, retire ese sitio de la red hasta poder pasarlo a una versión parcheada.

AWS, Red Hat y Ubuntu han publicado su propia orientación. También hay noticias de que la NSA advirtió a los operadores para que parchearan. Un cambio de configuración no sustituye la actualización.

3. Cómo se encontraron los fallos

La iniciativa Patch the Planet de OpenAI formó parte de la respuesta. Calif identificó uno de los fallos con GPT-5.6 Sol. Wiz también informó de los problemas por su cuenta. Los mantenedores de PHP dirigieron las correcciones y la publicación.

Por la filtración anticipada, los parches llegaron como emergencia y no en la fecha original de divulgación. En cuanto los detalles fueron públicos, empezó la búsqueda de servidores sin parche.

4. Qué hacer ahora

• Pase a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o al paquete parcheado de su proveedor de Linux o de su alojamiento, y reinicie PHP.
• Haga inventario de cada lugar donde corre PHP, incluidos aparatos y programas que llevan su propio PHP, no solo la versión que instaló para la tienda.
• Si el servidor sigue en PHP 8.1 o anterior y no hay un paquete del proveedor, no lo deje en internet público mientras prepara el cambio.

Una tienda que solo es una pila de plugins de PHP volverá a tener días así. El parche sigue siendo el primer trabajo. El trabajo más largo es que la próxima urgencia no tenga la misma forma.

5. FatLeon Commerce

FatLeon Commerce es código fuente privativo que usted despliega en su propia cuenta de AWS. La tienda no corre sobre PHP. Esta versión de PHP no la corrige, y este fallo no está dentro de ella.

Una base de código y dos licencias. La compra es única. Paddle.com es el merchant of record.

• Standard: tiendas que usted opera. https://fatleon.com/product/fatleon-standard-license
• Agency: tiendas que también construye para clientes. https://fatleon.com/product/fatleon-agency-license

El archivo de licencia del ZIP rige el uso. Las preguntas sobre un pedido van a info@fatleon.com.