Vulnerabilidad PHP: Todo lo que necesitas saber y como parchar

¿Qué es esta vulnerabilidad de PHP?

En octubre de 2026 se anunciaron varias vulnerabilidades de seguridad relacionadas con PHP, entre ellas php2shell (CVE-2026-109618 y CVE-2026-109619) y CVE-2026-115560. Estas vulnerabilidades pueden aumentar el riesgo de ataques cuando un servidor ejecuta una versión de PHP afectada y no cuenta con las mitigaciones o actualizaciones correspondientes.

En un comunicado en la Web de php2shell hacen mención a las vulnerabilidades mencionadas, por lo cual las acciones es que hagan sus patch lo más pronto posible.

¿Qué deben hacer los usuarios de hosting administrado?

En el hosting administrado de Hostinger, las actualizaciones de PHP para php2shell ya se aplicaron automáticamente en todos los servidores. Además, los sitios están protegidos frente a CVE-2026-115560 mediante una mitigación aplicada por Hostinger. No es necesario cambiar manualmente la versión de PHP para corregir estas vulnerabilidades.

Para comprobar la información de tu sitio, accede a hPanel → Websites → Dashboard → PHP Info y revisa el campo Build Date. Una fecha del 21 de octubre de 2026 o posterior indica que la corrección de php2shell está incluida.

¿Qué deben hacer los usuarios de VPS?

En un VPS, el propietario administra la instalación de PHP y debe comprobarla directamente. Si el servidor utiliza PHP, desactiva session.upload_progress.enabled estableciendo su valor en 0 dentro de php.ini o de la configuración del grupo PHP-FPM y reinicia PHP.

Para corregir completamente php2shell, actualiza PHP a la versión 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o instala la actualización de seguridad más reciente del sistema operativo. PHP 8.1 y versiones anteriores no reciben la corrección upstream para php2shell.

Comprobaciones recomendadas

• Comprueba la versión instalada con php -v en tu VPS.
• Mantén actualizados PHP, WordPress, los plugins y el tema.
• Revisa que no haya código personalizado vulnerable o desactualizado.
• Realiza una copia de seguridad antes de aplicar cambios importantes.

¿Qué deben hacer las personas que tengan PHP instalado en sus servidores?

Deben hacer actualización de la versión de PHP, como se indica en el punto de las comprobaciones recomandadas, averigua primero cual es la versión que tienes instalado (ya sea que lo instalaste por paquetes desde OS o si lo recompilaste), una vez que identifiques podrás saber si tienes que realizar alguna acción.

Estas son las versiones afectadas:

• v 8.5.12
• v 8.4.27
• v 8.3.36
• v 8.2.35

Conclusión

Es indispensable que hagan sus respectivas actualizaciones para mitigar la vulnerabilidad, el cual permitiría a atacantes de poder hacer uso de ciertos temas dentro del sistema con ejecuciones remotas. De igual forma colocamos la liga de CVE para que puedan obtener más información al respecto: Récord CVE.

Bytes.