PHP es el lenguaje de programación con el que funcionan casi 7 de cada 10 sitios web, desde blogs y tiendas online hasta portales corporativos. Está tan presente que rara vez se piensa en él. Hasta que falla.
Este miércoles 21 de octubre se hicieron públicas dos vulnerabilidades críticas en PHP, conocidas como PHP2Shell, que permiten ejecutar código en servidores de forma remota. Una alerta con repercusión mundial, ya que afecta a millones de sitios y aplicaciones web.
La urgencia fue tal que la NSA aconsejó a las webs que no pudieran corregir el fallo que se desconectaran temporalmente.
En este artículo explicamos qué es PHP2Shell, cómo se corrige y cómo desde Latinia hemos verificado que nuestros proveedores no han estado expuestos.
Qué es la vulnerabilidad PHP2Shell
PHP es el lenguaje de programación con el que funcionan casi 7 de cada 10 sitios web, entre ellos los construidos con WordPress, Drupal o Joomla.
La vulnerabilidad PHP2Shell agrupa dos fallos en el propio motor de PHP, identificados como CVE-2026-109618 y CVE-2026-109619. Las CVE (Common Vulnerabilities and Exposures) son los identificadores públicos que se asignan a cada vulnerabilidad conocida.
Según ha advertido el INCIBE (Instituto Nacional de Ciberseguridad de España), estos fallos permiten a un atacante sin credenciales ejecutar código directamente en el servidor y tomar así su control con una sola petición. Tienen una gravedad de 9,2 sobre 10 en la escala CVSS (Common Vulnerability Scoring System), el estándar que mide la severidad de una vulnerabilidad.
Cómo se corrige
La única solución definitiva es actualizar PHP. El propio equipo de PHP lo deja claro en su aviso de seguridad oficial: los cambios de configuración reducen el riesgo, pero ninguno cierra por completo la vulnerabilidad.
Las correcciones están en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, una por cada rama con soporte. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones oficiales. Por la gravedad del fallo, el equipo de PHP ha publicado parches mínimos para 7.4, 8.0 y 8.1, pensados para quien compila PHP desde el código fuente.
Un matiz importante si gestionas una web con WordPress: actualizar WordPress, el tema o los plugins no corrige el fallo. La vulnerabilidad está en el PHP instalado en el servidor, no en la aplicación.
Cómo ha respondido Latinia
Nuestros productos no utilizan PHP. Ningún producto de Latinia implementa PHP en su código ni depende de este lenguaje para funcionar. Por eso, ni nuestras soluciones ni las instalaciones de nuestros clientes han sido vulnerables en ningún momento.
Nuestros proveedores, al día. Desde el primer aviso contactamos con los proveedores y aplicaciones SaaS (software como servicio) que utilizamos y que funcionan con PHP. Todos nos confirmaron, uno a uno, que ya habían aplicado la versión corregida. En menos de 4 horas la verificación estaba completada.
La web corporativa, protegida desde el primer momento. www.latinia.com funciona con WordPress y, por tanto, con PHP. Cloudflare, nuestro proveedor de protección perimetral, bloqueó desde el primer momento los intentos de explotar la vulnerabilidad. El mismo 21 de octubre, horas después de publicarse el parche, la web estaba actualizada y verificada. La revisión completa de todos los sistemas concluyó a la mañana siguiente, sin ningún indicio de intrusión.
Cada vez que una vulnerabilidad sale en prensa, aparecen correos que la usan como excusa para pedir contraseñas o descargas “urgentes”. Ante cualquier mensaje que te pida credenciales, descargar archivos o instalar parches, verifica siempre su origen por un canal oficial antes de actuar.
La seguridad también se juega en la cadena de proveedores
Una vulnerabilidad como PHP2Shell pone a prueba algo más que el código propio: la capacidad de saber qué tecnología usa cada proveedor y de verificarlo en cuestión de horas. Para una entidad financiera, esa visibilidad forma parte de la gobernanza de proveedores y canales y de la resiliencia operativa y la continuidad del servicio, dos pilares de nuestro enfoque de seguridad y cumplimiento normativo.
Si tienes cualquier duda sobre PHP2Shell, tu interlocutor habitual en Latinia está a tu disposición.
Preguntas frecuentes
¿Qué es PHP2Shell?
PHP2Shell es el nombre de dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 y publicadas el 21 de octubre de 2026. Ambas tienen una gravedad de 9,2 sobre 10 en la escala CVSS y permiten a un atacante tomar el control de un servidor con una sola petición, sin usuario ni contraseña. Afectan a cualquier instalación de PHP sin parchear que atienda peticiones web.
¿Cómo se soluciona la vulnerabilidad PHP2Shell?
Actualizando PHP a una versión corregida: 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que se utilice. Es la única solución completa; los cambios de configuración y los cortafuegos solo reducen el riesgo. Después de actualizar hay que reiniciar los procesos de PHP para que el servidor cargue la nueva versión. PHP 8.1 y versiones anteriores ya no reciben actualizaciones oficiales.
¿Actualizar WordPress protege frente a PHP2Shell?
No. La vulnerabilidad está en PHP, el lenguaje sobre el que funciona WordPress, y no en WordPress en sí. Actualizar WordPress, el tema o los plugins no corrige el fallo: hay que actualizar la versión de PHP instalada en el servidor. Si la web está alojada en un hosting gestionado, conviene confirmar con el proveedor que ya ha aplicado el parche.
¿Las soluciones de Latinia se han visto afectadas por PHP2Shell?
No. Ningún producto de Latinia implementa PHP en su código ni depende de este lenguaje para funcionar, por lo que ni sus soluciones ni las instalaciones de sus clientes han sido vulnerables en ningún momento. Los proveedores SaaS que utiliza Latinia con tecnología PHP confirmaron en menos de 4 horas que ya aplicaban la versión corregida.
¿Los clientes de Latinia tienen que hacer algo ante PHP2Shell?
No es necesaria ninguna acción por parte de los clientes: los servicios de Latinia continúan prestándose con total normalidad. Latinia nunca pedirá contraseñas, ni que se instalen parches o se descarguen archivos a raíz de esta vulnerabilidad. Ante cualquier duda o comunicación sospechosa, los clientes pueden contactar con su interlocutor habitual en Latinia.
