PHP2Shell (CVE-2026-109618 y CVE-2026-109619): información para clientes
Dos fallos críticos en PHP, publicados el 21 de octubre de 2026, permiten ejecutar código en el servidor sin autenticación. Qué es PHP2Shell, a quién afecta, qué versiones lo corrigen y qué debes revisar en tu web, VPS o servidor.
Actualización 22-10-2026, 03:15 (hora de Perú): la corrección oficial ya está instalada en todas las versiones de PHP que usan las webs de nuestros servidores de hosting, tanto las de cPanel (ea-php) como las de CloudLinux (alt-php). Detalle en PHP2Shell: resolución en los servidores de HWPerú.
El 21 de octubre de 2026 el equipo de PHP publicó una actualización de seguridad para dos vulnerabilidades críticas conocidas como PHP2Shell: CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación CVSS 4.0 de 9.2 y permiten, en el peor de los casos, ejecutar código en el servidor sin usuario ni contraseña, enviando peticiones HTTP manipuladas a cualquier sitio que funcione con PHP.
¿Qué es PHP2Shell?
- CVE-2026-109618: cuando PHP se queda sin memoria a mitad de una petición, puede limpiar después datos que no llegaron a inicializarse y tratarlos como válidos.
- CVE-2026-109619: tras un error fatal, PHP puede conservar referencias a memoria ya liberada; una petición posterior atendida por el mismo proceso puede reutilizarlas y exponer información.
¿A quién afecta?
A todas las versiones de PHP desde la 5.4, sin importar la aplicación: WordPress, WooCommerce, Joomla, Moodle, Laravel o desarrollos propios. El fallo está en el propio intérprete de PHP, así que actualizar la web o sus plugins no lo corrige: hay que actualizar PHP en el servidor.
Versiones corregidas
| Rama de PHP | Versión corregida (php.net) | Estado de la rama |
|---|---|---|
| 8.5 | 8.5.12 | Con soporte |
| 8.4 | 8.4.27 | Con soporte |
| 8.3 | 8.3.36 | Con soporte |
| 8.2 | 8.2.35 | Fin de soporte: 31-12-2026 |
| 8.1 y anteriores | Sin versión oficial | Fuera de soporte |
Importante si ves tu versión en cPanel: en servidores con CloudLinux, como los nuestros, la corrección llega como una nueva compilación de la misma versión (por ejemplo, 8.4.26-2.el9.cloudlinux.1). Por eso tu cPanel puede seguir mostrando «8.4.26» aunque ya esté corregida. CloudLinux también publicó la corrección para ramas antiguas (7.x, 8.0 y 8.1) que PHP ya no mantiene.
Qué te recomendamos hacer
- Hosting compartido o revendedor en HWPerú: no necesitas hacer nada; la actualización la aplicamos nosotros.
- Si tu web usa PHP 8.1, 8.0 o 7.x, planifica el cambio a PHP 8.3 o 8.4 desde cPanel. Aunque hoy esté corregida, esas ramas ya no reciben mantenimiento oficial. Si no sabes si tu web es compatible, escríbenos y lo revisamos contigo.
- Si tienes un VPS o servidor dedicado administrado por ti, actualiza PHP con los paquetes de tu distribución y reinicia PHP-FPM o LiteSpeed. Mientras llega el paquete, añade
session.upload_progress.enabled = Offen tuphp.ini. - Si tu dominio está en Cloudflare, verifica que el WAF administrado esté activo y en modo bloqueo.
¿Tienes dudas sobre tu servicio? Abre un ticket de soporte o escríbenos por WhatsApp.
Fuentes: aviso oficial de PHP, blog de Cloudflare y blog de CloudLinux.