Los fallos, con una gravedad de 9,2 sobre 10, podrían permitir la ejecución remota de código. Los desarrolladores publicarán los parches este miércoles, mientras los expertos recomiendan a los administradores preparar sus servidores.
El equipo de seguridad de PHP ha emitido una alerta extraordinaria ante la aparición de dos vulnerabilidades críticas en el lenguaje de programación, ampliamente utilizado en páginas web, tiendas online y aplicaciones empresariales. Las correcciones están previstas para este miércoles 21 de octubre, a las 16:00 horas en España peninsular.
Ambos fallos han recibido una puntuación de 9,2 sobre 10 en el sistema CVSS 4.0. Su descubrimiento ha generado preocupación en la comunidad de ciberseguridad, especialmente después de que comenzara a circular información sobre las vulnerabilidades antes de su divulgación oficial.
Una filtración adelanta la alerta
La situación comenzó a hacerse pública el martes 20 de octubre, cuando aparecieron referencias a dos vulnerabilidades que, según investigadores de seguridad, permitirían ejecutar código de forma remota en servidores que utilizan PHP.
Los fallos han sido identificados por la comunidad como CVE-2026-109618 y CVE-2026-109619, y algunos investigadores han comenzado a referirse a ellos conjuntamente como PHP2Shell.
La empresa de ciberseguridad watchTowr confirmó la existencia de las vulnerabilidades y aseguró haber conseguido reproducir una de ellas. No obstante, sus responsables decidieron no publicar detalles técnicos que pudieran facilitar ataques antes de la disponibilidad de las actualizaciones.
Poco después, el equipo de PHP anunció oficialmente una actualización de seguridad fuera de su calendario habitual y pidió a los usuarios que se preparasen para instalarla cuanto antes.
¿Qué riesgo existe para las páginas web?
La principal preocupación es la posibilidad de que un atacante consiga ejecutar instrucciones maliciosas en un servidor vulnerable sin necesidad de disponer previamente de una cuenta de usuario, según las evaluaciones preliminares.
Una vulnerabilidad de ejecución remota de código, conocida como RCE, puede llegar a comprometer información almacenada, alterar archivos o permitir que un atacante tome el control de determinados procesos del servidor.
El alcance potencial resulta especialmente relevante por la presencia de PHP en gestores de contenidos como WordPress, Drupal o Joomla, además de numerosas plataformas de comercio electrónico y aplicaciones desarrolladas a medida.
Sin embargo, utilizar PHP no significa automáticamente que una página web pueda ser atacada. Todavía se desconocen las condiciones exactas necesarias para explotar los fallos y las versiones concretas afectadas. Estos detalles se publicarán junto con los parches oficiales.
Los organismos europeos recomiendan prepararse
El Equipo de Respuesta a Emergencias Informáticas de las instituciones de la Unión Europea, CERT-EU, ha publicado un aviso en el que recomienda identificar las aplicaciones que utilizan PHP y preparar su actualización inmediata.
En aquellos casos donde no sea posible aplicar las correcciones con rapidez, el organismo aconseja estudiar el aislamiento temporal de los servicios expuestos a Internet hasta que puedan protegerse adecuadamente.
También será importante revisar las instalaciones antiguas de PHP que ya no reciben soporte oficial, puesto que podrían necesitar una migración a versiones mantenidas si finalmente se confirma que están afectadas.
Por ahora, los investigadores consultados no han comunicado ataques activos confirmados que aprovechen estas dos vulnerabilidades. Aun así, la filtración anticipada de información aumenta la preocupación por posibles intentos de explotación una vez que se conozcan sus detalles técnicos.
La publicación de los parches permitirá conocer el alcance real del problema. Hasta entonces, la recomendación principal es localizar los servidores que utilizan PHP, revisar su versión y preparar las actualizaciones sin esperar a que aparezcan los primeros incidentes.
