Dos fallos en PHP, el lenguaje con el que funciona casi el 70 % de las webs, han puesto en alerta a medio Internet: gobiernos de media Europa apagaron el 21/10/2026 portales públicos por precaución, Japón pidió actuar esa misma noche y más de 5 millones de servidores con PHP quedaron expuestos a un ataque que permite tomar el control sin contraseña. Los fallos, bautizados como PHP2Shell, ya tienen parche, pero millones de webs con versiones antiguas de PHP no recibirán una actualización oficial.
Las claves de PHP2Shell, el fallo que ha puesto en jaque a medio Internet, en 30 segundos
- PHP2Shell son dos vulnerabilidades críticas (9,2 sobre 10) que permiten ejecutar código en el servidor sin autenticarse.
- PHP mueve el 69,3 % de las webs cuyo lenguaje de servidor se conoce, según W3Techs.
- Países Bajos, Finlandia, Dinamarca, Francia, Alemania y Bélgica desconectaron webs públicas por precaución.
- PHP corrigió el fallo el 21/10/2026 en 8.2, 8.3, 8.4 y 8.5.
- Más de un tercio de las webs con PHP usa versiones 5 o 7, sin parche oficial completo.
El caso empezó mal desde el principio. Los fallos debían mantenerse en secreto hasta tener el parche listo, pero se filtraron el 20/10/2026, un día antes. Desde ese momento empezó una carrera entre administradores de sistemas y atacantes que, según Cloudflare, Patchstack y watchTowr, ya estaban probando los fallos antes de que existiera la corrección. Los descubrieron investigadores de Wiz, OpenAI y la empresa Calif, que han reunido toda la información en php2shell.com.
Por qué PHP2Shell afecta a casi el 70 % de la web
PHP es el motor invisible de buena parte de Internet. Sobre él funcionan WordPress, Drupal, Joomla, WooCommerce o Magento, y con ellos millones de webs de empresas, medios, tiendas online y administraciones. Según W3Techs, PHP se usa en el 69,3 % de los sitios web cuyo lenguaje de servidor se puede identificar.
Lo grave de PHP2Shell es que el fallo no está en un plugin ni en una web concreta, sino en el propio PHP. Da igual que la web esté bien hecha o que WordPress esté al día: si el servidor ejecuta una versión vulnerable de PHP, el riesgo existe. Los investigadores demostraron que podían ejecutar órdenes en servidores con WordPress, Drupal y Joomla sin necesidad de usuario ni contraseña. Además, un atacante podría leer la memoria del servidor y llevarse contraseñas, tokens o claves de acceso.
VirusTotal estima, según recoge BleepingComputer, que hay más de 5,1 millones de servidores con PHP expuestos en Internet. Eso no significa que todos hayan sido atacados, pero sí que todos están en el punto de mira hasta que se actualicen.
Gobiernos apagando webs y llamadas de urgencia
La reacción más llamativa llegó de las administraciones públicas. En Países Bajos, el Centro Nacional de Ciberseguridad (NCSC-NL) desconectó su propia web por precaución, y le siguieron el portal Overheid.nl, el puerto de Róterdam, varios hospitales y servicios de Logius, la agencia que gestiona DigiD, la identidad digital de los ciudadanos neerlandeses. En Finlandia, Valtori, el proveedor de TI del Estado, cortó servicios públicos en red como medida preventiva. Dinamarca, Francia, Alemania y Bélgica también retiraron temporalmente webs oficiales, según la información recogida por agencias y medios internacionales.
En Japón, la primera ministra Sanae Takaichi pidió en X a todos los responsables de webs públicas que comprobaran si usaban PHP y que aplicaran la corrección esa misma noche. La agencia de seguridad nacional de Estados Unidos (NSA) recomendó desconectar los sistemas que no pudieran protegerse, igual que el Centro Nacional de Ciberseguridad del Reino Unido. En América Latina, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones de Costa Rica emitió una alerta a todas las instituciones del país.
OpenAI, una de las empresas que encontró el fallo, lo describió como una de las vulnerabilidades con más impacto de los últimos tiempos, aunque esa valoración es de la propia compañía. Ox Security fue igual de contundente: según su investigador principal, cualquier organización con PHP sin parchear y accesible desde Internet debe darse por expuesta.
Millones de webs con PHP 5 y 7, sin parche oficial
PHP publicó el 21/10/2026 las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El problema es que son solo para las ramas que todavía mantiene. Según php2shell.com, casi todas las versiones de PHP desde la 5.4 estaban afectadas por al menos uno de los dos fallos, y una parte enorme de Internet sigue anclada en versiones antiguas: de las webs con PHP, el 27 % usa PHP 7 y el 7,7 % usa PHP 5, según W3Techs.
Para esas webs no hay una versión oficial nueva de PHP.net. El equipo de PHP solo ha publicado parches mínimos para compilar a mano en las ramas 7.4, 8.0 y 8.1, y para PHP 5 no hay nada. Quien siga en esas versiones depende de que su distribución Linux, su panel de hosting o un proveedor de soporte extendido haya preparado su propia corrección. Algunos ya lo han hecho, como el repositorio de Ondřej Surý para Debian y Ubuntu, que ha publicado parches incluso para PHP 5.6, o el panel DirectAdmin para PHP 7.4, 8.0 y 8.1. Otros siguen trabajando en ello. Si no hay parche, la única salida real es actualizar a PHP 8.2 o posterior.
Los medios de este grupo han seguido el caso desde la filtración. En OpenSecurity se explicó cómo se filtraron las vulnerabilidades de PHP antes del parche, WPDirecto contó qué significan para quien tiene una web en WordPress y Revista Cloud recopiló qué distribuciones y paneles ya han publicado los parches y cómo mitigar. Para los administradores de sistemas, Administración de Sistemas tiene una guía rápida con los pasos a seguir.
Qué tiene que hacer quien tiene una web
- Preguntar al proveedor de hosting si ya ha actualizado PHP. En alojamientos compartidos o gestionados lo hace él, no el cliente.
- Comprobar la versión de PHP en el panel de control o, en WordPress, en Herramientas, Salud del sitio, Información, Servidor.
- Si se usa PHP 7 o anterior, planificar ya el paso a PHP 8.2 o superior.
- Activar un cortafuegos web. Cloudflare aplica reglas contra PHP2Shell en todos sus planes, incluido el gratuito, aunque la propia compañía insiste en que no sustituyen al parche.
- Tras actualizar, reiniciar PHP o el servidor web: sin reinicio, el PHP vulnerable sigue funcionando en memoria.
Preguntas frecuentes
¿Qué es PHP2Shell?
Es el nombre de dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten a un atacante ejecutar código en el servidor sin autenticarse. Tienen una gravedad de 9,2 sobre 10.
¿Cuántas webs afecta PHP2Shell?
PHP se usa en el 69,3 % de las webs cuyo lenguaje de servidor se conoce, según W3Techs, y VirusTotal estima más de 5,1 millones de servidores con PHP expuestos. Las que tengan PHP actualizado están protegidas.
¿Por qué se apagaron webs de gobiernos?
Por precaución. Países Bajos, Finlandia, Dinamarca, Francia, Alemania y Bélgica desconectaron temporalmente algunas webs públicas mientras llegaba el parche.
¿Hay parche para PHP 5 y PHP 7?
No hay una versión oficial nueva. PHP solo publicó parches mínimos para compilar 7.4, 8.0 y 8.1. Para el resto hay que depender del proveedor o actualizar a PHP 8.2 o superior.
Fuentes:
- OpenSecurity: PHP corrige dos fallos críticos que se filtraron antes del parche
- WPDirecto: fallos críticos en PHP, qué suponen para WordPress
- Revista Cloud: PHP2Shell, qué distribuciones y paneles ya han parcheado PHP
- Administración de Sistemas: guía rápida para sysadmins
- PHP2Shell (Wiz Research, OpenAI Codex Security y Calif)
- PHP: aviso de seguridad del 21/10/2026
- W3Techs: uso de PHP en sitios web
- BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws
- Safeguard: por qué los gobiernos desconectaron webs el 21 de octubre
- The National: PHP vulnerability, websites go offline
- Delfino.cr: el Gobierno de Costa Rica alerta a sus instituciones
- Cloudflare: protecciones del WAF contra php2shell
