Saltar al contenidoistheinternetok
Todos los incidentes

Fallo de seguridad·Crítica

PHP2Shell: dos fallos críticos en PHP

Arreglo disponibleLos atacantes ya lo usanAfecta a quien tiene una web
PHP

Qué cambia para ti

Algunos sitios web gubernamentales se desconectaron por precaución.

PHP, el lenguaje detrás de buena parte de los sitios web, corrigió dos fallos que permiten a un atacante tomar el control de un servidor web con una sola petición. Varios gobiernos desconectaron sus sitios por precaución; los visitantes no tienen que hacer nada, los dueños de sitios deben actualizar PHP ya.

Inicio: 20 oct 2026Actualizado: 23 oct 2026

Publicar en X

¿Qué hago?

Tú
No hay que hacer nada. Algunos sitios web gubernamentales pueden estar fuera de servicio un tiempo.
Si tienes una web o una app
Actualice PHP a la 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o al paquete corregido de su distribución; revise su registro de cambios para ver los identificadores CVE) y reinicie todos los workers. PHP 8.1 y anteriores no reciben corrección oficial. Medidas como session.upload_progress.enabled=0 solo reducen la exposición; actualizar es la única solución completa.

Qué está afectado

CVE-2026-109618CVE-2026-109619Puntuación de gravedad 9.2 sobre 10

Cronología

  1. Arreglo disponible · 23 oct 2026

    Cloudflare amplía sus reglas a un problema relacionado con el progreso de subida de sesión de PHP, la CVE-2026-115560.

    Cloudflare

  2. Arreglo disponible · 21 oct 2026

    Sitios web gubernamentales de varios países, entre ellos Alemania, Finlandia, Bélgica, los Países Bajos y Francia, se desconectan por precaución.

    Australian Associated Press

  3. Arreglo disponible · 21 oct 2026

    PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen la CVE-2026-109618 y la CVE-2026-109619. Afectan a todas las instalaciones de PHP que atienden peticiones web; el riesgo es mayor con Apache mod_php.

    php.net

  4. Mitigado · 21 oct 2026

    Cloudflare activa reglas WAF contra los fallos en todos los planes, incluido el gratuito, desde las 03:02 UTC, e informa de tráfico de ataque dirigido a sus clientes tras filtrarse los detalles.

    Cloudflare

  5. Identificado · 20 oct 2026

    PHP anuncia una versión de seguridad crítica para el 21 de octubre que corrige dos vulnerabilidades con una puntuación CVSS v4.0 de 9.2.

    php.net

Fuentes

Relacionado