El 21 de octubre el equipo de PHP publicó una actualización de seguridad urgente para dos fallos críticos del propio núcleo de PHP, conocidos como PHP2Shell: CVE-2026-109618 y CVE-2026-109619. Los dos permiten ejecutar código en el servidor sin iniciar sesión, y PHP los califica como críticos (9,2 sobre 10). Los detalles se filtraron antes de tiempo y ya hay informes de los primeros ataques, así que no era un parche para dejar para la semana que viene.
Qué hemos hecho
El mismo día hemos actualizado PHP en todos nuestros servidores a las versiones corregidas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Antes de instalar nada comprobamos la firma de los paquetes, y después de cada actualización verificamos que las webs seguían respondiendo con normalidad. Aprovechamos la misma ventana para actualizar también el sistema operativo y el kernel de los servidores, que se parchea en caliente con KernelCare, sin reiniciar la máquina ni cortar tus webs.
¿Tienes que hacer algo?
Si tienes el hosting web con nosotros, la actualización de PHP es parte del mantenimiento de la plataforma y ya está hecha. Solo hay un caso en el que te toca mover ficha: si tu web sigue en PHP 8.1 o en una versión anterior. Esas ramas ya no tienen soporte oficial, y el equipo de PHP ha dejado claro que no publicará arreglos para ellas.
- Mira qué versión usa tu web en el panel. Lo explicamos paso a paso en Cómo cambiar la versión de PHP de tu web.
- Si es 8.1 o anterior, cámbiala a 8.2 o posterior. Antes, comprueba que tu tema, tus plugins o tu aplicación la admiten; WordPress, PrestaShop y la mayoría de aplicaciones actuales funcionan sin problema en 8.3.
- Si alguna parte de tu web necesita afinar extensiones o ajustes de PHP, lo tienes en Cómo usar PHP Selector.
Si no sabes si tu web aguantará el cambio, abre un ticket a soporte y lo revisamos contigo antes de tocar nada.
Si administras tu propio servidor
Comprueba la versión con php -v y actualiza hoy a cualquiera de las cuatro de arriba. Recuerda reiniciar o recargar PHP-FPM después: hasta que no lo hagas, el proceso sigue ejecutando el código vulnerable que tenía cargado en memoria. Si prefieres que de eso nos encarguemos nosotros, mira la diferencia entre VPS administrado y no administrado.