PHP2Shell: CVE-2026-109618 y CVE-2026-109619 (actualizado el 22 oct 2026) Qué pasó: El 21 de octubre de 2026 PHP publicó actualizaciones de emergencia para dos fallos críticos que permiten ejecutar código en el servidor sin iniciar sesión. Los informes de seguridad llaman al par PHP2Shell. El aviso de PHP del 20 de octubre puntuó ambos con CVSS v4.0 9.2. Son CVE-2026-109618 (corrupción por falta de memoria) y CVE-2026-109619 (estado viejo que queda en un worker de PHP).
Actualización, 22 oct: Unas 24 horas después de los parches, el escaneo es generalizado. Amazon reporta la primera sonda el 17 de octubre, antes de que terminara el embargo, y luego intentos amplios tras la publicación. Cloudflare dice que los intentos pasaron de miles antes del anuncio a millones después. WatchTowr dice que muchos PoC públicos no logran ejecución remota y sobre todo crashean o miden tiempos. CISA pidió actualizar de inmediato. Actualizar PHP sigue siendo la única solución completa.
WordPress: Es la versión de PHP del servidor. Actualizar WordPress, plugins o temas no lo corrige. Cada sitio de WordPress sigue expuesto hasta que ese PHP esté parcheado.
A quién afecta: Cualquier instalación de PHP que atienda peticiones web, incluido PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP dice que el riesgo es mayor con mod_php: un exploit demostrado puede dispararse con una petición antes de que corra el código de WordPress. Cloudflare también dice que los fallos afectan a servidores web con PHP 5.4 o posterior.
Versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP. Algunos hostings y distribuciones Linux retroportan la corrección, a veces sin cambiar el número a esas versiones. PHP también publicó backports mínimos de código para 7.4, 8.0 y 8.1, para quien compile PHP. PHP dice que no hay una mitigación completa.
Cloudflare: Cloudflare activó reglas de WAF en todos los planes, incluido el gratuito, a las 03:02 UTC del 21 de octubre, unas 9 horas antes de la publicación pública de PHP. En el plan gratuito las reglas están activas por defecto. En Pro, Business o Enterprise, confirma que el Managed Ruleset está en modo bloqueo. Las reglas solo ven el tráfico que pasa por Cloudflare, y Cloudflare dice que son una capa extra. Hay que parchear PHP igual.
Haz esto ahora
Abre Herramientas → Salud del sitio → Información → Servidor y anota la versión completa de PHP. Un panel que solo dice 8.2 u 8.3 no basta. Pide al hosting que instale 8.5.12, 8.4.27, 8.3.36 u 8.2.35 en la rama que ya usas, y que reinicie PHP. Si estás en PHP 8.1 o anterior, pasa a una rama con soporte o confirma que el paquete del hosting incluye CVE-2026-109618 y CVE-2026-109619. No trates una actualización de WordPress, de un plugin o de un tema como la corrección. Si el sitio está en Cloudflare, deja activas las reglas WAF de PHP2Shell. En Pro, Business o Enterprise, confirma que el Managed Ruleset está en modo bloqueo. Las peticiones directas a la IP del servidor se saltan esas reglas. Aviso oficial de seguridad de PHP Cloudflare: protecciones WAF para PHP2Shell SecurityWeek: explotación antes y después de los parches
