Palo Alto Networks advierte que el tiempo para reaccionar se acorta. Así revisas tu versión de PHP, cuál instalar y qué pide el ColCERT.
TL;DR: PHP2Shell son dos fallas críticas de PHP (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código en un servidor sin autenticación. Palo Alto Networks detectó más de 22,6 millones de instalaciones expuestas. PHP las corrigió el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Dos fallas críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, ponen en riesgo a más de 22,6 millones de instalaciones expuestas a internet, según la telemetría de Palo Alto Networks (Unit 42, octubre de 2026).
Ambas tienen una calificación de 9,2 sobre 10 y pueden permitir que un atacante tome control de un servidor vulnerable. La solución es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que uses.
¿Por qué esta alerta preocupa tanto?
Palo Alto Networks señala que las fallas de alto perfil suelen exponer miles de sistemas, mientras que PHP2Shell alcanza a decenas de millones.
El riesgo no depende del tamaño de la organización, sino de qué tan expuestos están sus servicios y cuánta información o cuántos sistemas críticos conectan, explica la empresa. Sitios corporativos, bolsas de trabajo y aplicaciones pueden estar entre ellos.
Según la compañía, los intentos de explotación pueden empezar pocos minutos después de una divulgación importante. Además, la inteligencia artificial acelera el descubrimiento de vulnerabilidades y reduce el tiempo que los atacantes necesitan para aprovecharlas.
En MasterCrispi ya contamos cómo un modelo de IA encontró más de 10.000 fallas de seguridad que nadie había visto trabajando con Palo Alto Networks.
¿Qué recomienda Palo Alto Networks?
Palo Alto Networks propone una defensa continua: saber qué depende de PHP, atender primero lo más urgente y actuar antes de que haya un ataque.
El primer paso es recuperar visibilidad: saber qué sitios, aplicaciones y servicios usan PHP, incluidos los de proveedores y servicios externos, para distinguir cuáles necesitan atención inmediata.
Después hay que atender primero los sistemas que podrían acercar a un atacante a información sensible. La calificación de gravedad ayuda a dimensionar el problema, pero no explica por sí sola qué tan expuesto está un servicio ni hasta dónde podría avanzar un atacante.
La empresa considera que actualizar sigue siendo esencial, pero ya no basta por sí solo: mientras se aplican los parches hay que mantener barreras que bloqueen intentos de ataque y reducir la exposición cuando el servicio lo permita. La protección debe sostenerse durante todo el proceso, no solo después de actualizar.
Para los equipos de seguridad, pide detectar, contener y responder con una rapidez acorde con un escenario en el que el robo de información puede ocurrir en cerca de una hora.
Unit 42 reportó el 29 de octubre que las fallas se explotan contra interfaces de administración de PAN-OS expuestas a internet, el sistema de sus firewalls. Los equipos con parches no están afectados.
La empresa resume el reto así: el futuro de la ciberseguridad dependerá de la capacidad para anticiparse.
¿Qué es PHP2Shell y por qué importa?
PHP2Shell es el nombre de dos fallas críticas en PHP que permiten ejecutar código en un servidor sin autenticación. Ambas tienen 9,2 sobre 10 en la escala CVSS 4.0.
Según el aviso de seguridad de PHP, la CVE-2026-109618 se origina en un error al manejar la falta de memoria.
En cambio, la CVE-2026-109619 reutiliza datos de una petición anterior que ya fueron liberados, y otra petición del mismo proceso puede aprovecharlos.
El problema es amplio: el riesgo alcanza a todas las instalaciones de PHP que atienden peticiones web, como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Es mayor en mod_php, donde existe un exploit demostrado que actúa antes de que corra el código de la aplicación.
CISA, la agencia de ciberseguridad de Estados Unidos, incluyó ambas fallas en su catálogo de vulnerabilidades explotadas el 26 de octubre. Eso indica que ya hay ataques reales y no solo riesgo teórico.
¿Cómo saber qué versión de PHP uso?
Puedes ver tu versión de PHP en el panel del hosting, con el comando php -v o, en WordPress, dentro de Salud del sitio.
En WordPress, entra a Herramientas, Salud del sitio, pestaña Información y abre la sección Servidor: ahí aparece la versión de PHP de tu sitio.
Si administras tu propio servidor, php -v muestra la versión de la línea de comandos, que puede ser distinta a la del servidor web. El aviso del ColCERT trae los comandos para identificar la rama y la versión exacta de PHP en cada servidor.
PHP publicó las versiones corregidas el 21 de octubre a las 9:00 a. m. (hora Colombia). Esta es la versión que debes tener, según tu rama:
| Rama de PHP | Versión corregida | Soporte de seguridad hasta |
|---|---|---|
| 8.5 | 8.5.12 | 31 de diciembre de 2029 |
| 8.4 | 8.4.27 | 31 de diciembre de 2028 |
| 8.3 | 8.3.36 | 31 de diciembre de 2027 |
| 8.2 | 8.2.35 | 31 de diciembre de 2026 |
| 8.1 y anteriores | Sin versión oficial | Fin de vida |
PHP 8.1 y anteriores ya no reciben actualizaciones oficiales. El proyecto publicó parches mínimos para 7.4, 8.0 y 8.1, pensados para quienes compilan desde el código fuente. Su recomendación es migrar a una rama con soporte.
Ojo con la rama 8.2: solo recibe parches de seguridad hasta el 31 de diciembre de 2026, así que conviene planear el salto a 8.3 o superior.
¿Qué hacer si uso un hosting?
Actualizar WordPress o sus plugins no corrige las fallas, porque están en PHP. Cambia la versión en el panel del hosting o pídesela al proveedor.
Los investigadores que descubrieron las fallas confirmaron ejecución remota de código sin autenticación contra WordPress, Drupal, Joomla y Magento (Calif Research, octubre de 2026). Por eso un sitio en WordPress también debe revisar su versión de PHP.
Después de actualizar, el ColCERT recomienda reiniciar PHP-FPM y Apache para que el cambio se aplique en los procesos que ya estaban corriendo.
Algunas distribuciones y proveedores de soporte extendido ofrecen correcciones propias para PHP 8.1 y anteriores. Si tu hosting usa una versión antigua, pregúntale si aplicó el parche o si puede migrarte a una rama con soporte.
¿Qué mitigaciones hay si no puedo actualizar?
Las mitigaciones temporales de PHP reducen la exposición, pero no hacen seguro el servidor. Solo actualizar PHP corrige las dos fallas de forma completa.
Estas son las medidas que lista el aviso de PHP:
memory_limit=-1, definido de forma que las aplicaciones no puedan cambiarlo (CVE-2026-109618).post_max_sizebajo: 8M si no hay cargas de archivos y 32M si las hay.session.upload_progress.enabled=0, y reiniciar todos los procesos de PHP (CVE-2026-109619).- En PHP 8.5,
fatal_error_backtraces=0.
El ColCERT advierte que conviene probar estas medidas antes de aplicarlas, porque pueden afectar formularios, cargas de archivos y barras de progreso.
¿Cuál es el riesgo en Colombia?
El ColCERT contó 8.699 servicios con PHP expuestos en Colombia el 21 de octubre; el 88 % está en redes de proveedores de internet y telecomunicaciones.
En su alerta crítica AL-20261021-123, el ColCERT aclara que la cifra mide exposición potencial: la versión se infiere de datos públicos y no se identifica a los dueños de cada servicio.
El aviso del ColCERT, de nivel de riesgo alto, pide actualizar primero los servidores con Apache y mod_php y los expuestos a internet. También pide revisar los registros desde el 21 de octubre.
El ColCERT pide vigilar señales de compromiso en los servidores con PHP, como estas:
- Reinicios inesperados de procesos de PHP o Apache.
- Peticiones POST inusualmente grandes.
- Archivos PHP nuevos en las carpetas de carga.
- Procesos como
curlowgetlanzados por el servidor web.
Preguntas frecuentes sobre PHP2Shell
¿Qué es PHP2Shell?
Es el nombre de dos fallas críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en un servidor sin autenticación. Palo Alto Networks detectó más de 22,6 millones de instalaciones expuestas, y PHP las corrigió el 21 de octubre de 2026.
¿Actualizar WordPress me protege de PHP2Shell?
No. Las fallas están en PHP, no en WordPress ni en sus plugins. Debes actualizar PHP en tu servidor o pedirle a tu hosting que lo haga, y reiniciar los procesos de PHP.
¿Qué versión de PHP debo instalar?
PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que uses. Las ramas 8.1 y anteriores ya no tienen una versión oficial corregida.
¿Ya se están explotando las fallas?
Sí. CISA incluyó ambas en su catálogo de vulnerabilidades explotadas el 26 de octubre de 2026, lo que confirma que hay ataques reales.
¿Cuántos servicios con PHP hay expuestos en Colombia?
El ColCERT contó 8.699 el 21 de octubre de 2026, el 88 % en redes de proveedores de internet y telecomunicaciones. La cifra mide exposición, no servidores vulnerables ni atacados.
¿Qué hago si no puedo actualizar hoy?
Aplica las mitigaciones temporales de PHP, como memory_limit=-1, un post_max_size bajo y session.upload_progress.enabled=0, y reinicia los procesos. Solo reducen la exposición y no reemplazan la actualización.
En MasterCrispi seguiremos de cerca el caso si PHP publica nuevos parches. Mientras tanto, ¿ya revisaste qué versión de PHP corre tu sitio?
También te puede interesar
- ¿Qué es una identidad de máquina y por qué ya hay 109 por cada humano? Guía para empresas en Colombia
- ¿Qué es shadow AI? Los agentes de IA que ya operan dentro de las empresas sin que el área de TI lo sepa
- Falsas ofertas de empleo para programadores: así funciona el ataque Blinder Tunnel y cómo abrir un reto de código sin infectarte
