Las fallas críticas de PHP conocidas como PHP2Shell ya se explotan con éxito en servidores reales. La confirmación llegó este lunes 26 de octubre, cinco días después de que el proyecto publicara los parches, y cambia el tono de la alerta: quien no actualizó ya no corre un riesgo teórico.
El caso lo documentó Adel Karimi, de Perplexity, con honeypots (servidores trampa) que registraron una ejecución remota de código contra un Apache con mod_php y PHP 8.4.26. Según su análisis, el atacante obtuvo memoria del servidor y luego ejecutó un comando. El investigador Marcus Hutchins, de Expel, lo calificó como la confirmación de mejor calidad que ha visto hasta ahora. Hasta ese momento, varias empresas de seguridad solo habían visto intentos fallidos o escaneos.
Qué versión instalar
Las dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) permiten que alguien sin cuenta ejecute código en el servidor. La Fundación PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y pidió actualizar de inmediato.
Las ramas 8.1 y anteriores ya no tienen soporte oficial. Algunos proveedores de soporte extendido ofrecen correcciones propias, y el equipo de PHP entregó parches mínimos para quien compila desde el código fuente en las versiones 7.4, 8.0 y 8.1. Actualizar WordPress o sus plugins no corrige la falla, porque está en PHP y no en la aplicación; en un hosting compartido hay que pedirle el cambio al proveedor.
El viernes el equipo de PHP también publicó medidas de mitigación para una tercera falla (CVE-2026-115560) que aún no tiene parche y solo se explota con una combinación poco común de configuración y código.
El panorama en Colombia
El ColCERT, el equipo de respuesta a emergencias cibernéticas del país, emitió el 21 de octubre su alerta crítica AL-20261021-123. Contó 8.699 servicios con PHP expuestos a internet en Colombia, la mayoría en redes de proveedores de internet y telecomunicaciones. Esa cifra mide exposición, no servidores vulnerables ni atacados, y no identifica a los dueños.
Para el lector que administra un sitio propio, el paso es el mismo: confirmar la versión de PHP en el servidor y actualizarla a una de las corregidas. Enter ha recogido antes los errores humanos que están detrás de muchas brechas en el país; un servidor sin parchar es uno de los más evitables.
Fuentes: BleepingComputer (bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/) y The PHP Foundation (thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/). Cifras del ColCERT, según Más Colombia (mascolombia.com/falla-php-paginas-web/).
