{"id":209263,"date":"2026-10-21T12:04:59","date_gmt":"2026-10-21T12:04:59","guid":{"rendered":"http:\/\/cordobadirecto.com\/index.php\/2026\/10\/21\/apocalipsis-en-php-dos-vulnerabilidades-criticas-sin-corregir-ponen-en-peligro-cualquier-web\/"},"modified":"2026-10-21T12:04:59","modified_gmt":"2026-10-21T12:04:59","slug":"apocalipsis-en-php-dos-vulnerabilidades-criticas-sin-corregir-ponen-en-peligro-cualquier-web","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/10\/21\/apocalipsis-en-php-dos-vulnerabilidades-criticas-sin-corregir-ponen-en-peligro-cualquier-web\/","title":{"rendered":"Apocalipsis en PHP: dos vulnerabilidades cr\u00edticas sin corregir ponen en peligro cualquier web"},"content":{"rendered":"
\n<\/p>\n

Dos vulnerabilidades cr\u00edticas<\/strong> y, por el momento, sin parchear, afectan a PHP<\/strong> y ponen en peligro los sitios web. Este problema se conoce como PHP2Shell. El equipo de seguridad de PHP<\/a> ha asignado, con fecha de 20 de octubre, a ambos fallos una puntuaci\u00f3n de 9.2 sobre 10 en la escala CVSS 4.0, lo que nos muestra la magnitud. No ha ofrecido detalles t\u00e9cnicos, algo habitual hasta que la mayor\u00eda haya corregido el problema.<\/p>\n

Fallos importantes en PHP<\/h2>\n

Hay que mencionar que PHP es un lenguaje de programaci\u00f3n muy utilizado<\/strong> en aplicaciones web, para procesar formularios, gestionar sesiones o consultar bases de datos. Al ser algo tan utilizado, fallos de este tipo pueden tener una gran repercusi\u00f3n. No se trata de una vulnerabilidad que afecte a un \u00fanico plugin o sitio web espec\u00edfico.<\/p>\n

En caso de que un atacante explotara estos fallos, podr\u00eda llegar a ejecutar c\u00f3digo de forma remota<\/strong> en un servidor. Tendr\u00eda la capacidad de acceder a informaci\u00f3n disponible para la cuenta del servicio, modificar archivos o crear una puerta trasera, robar credenciales y llegar a usar ese servidor comprometido para intentar atacar a otros sistemas.<\/p>\n

Estos fallos, seg\u00fan circula por diferentes medios, han sido registrados como CVE-2026-109618<\/strong> y CVE-2026-109619<\/strong>, aunque no hay informaci\u00f3n oficial por parte de PHP al respecto. La filtraci\u00f3n tuvo lugar con fecha de 20 de octubre y, posteriormente, apareci\u00f3 la publicaci\u00f3n oficial de PHP al respecto.<\/p>\n

Puedes ver la publicaci\u00f3n de PHP<\/strong> en la siguiente captura de pantalla que te dejamos:<\/p>\n

\"Aviso
Notificaci\u00f3n oficial que detalla la programaci\u00f3n de un parche de seguridad para PHP destinado a solventar fallos con una puntuaci\u00f3n CVSS de 9.8. \/ Captura propia de RedesZone<\/figcaption><\/figure>\n

Tampoco hay informaci\u00f3n oficial, por el momento, sobre qu\u00e9 versiones exactamente est\u00e1n afectadas y cu\u00e1les recibir\u00e1n actualizaciones. Sin embargo, podr\u00edan estar afectadas todas las versiones desde PHP 5. Los parches llegar\u00edan a las ramas con soporte, que es de PHP 8.2 en adelante.<\/p>\n

Actualizaciones inmediatas<\/h2>\n

Al tiempo de escribir este art\u00edculo no hay parches disponibles, pero desde PHP informan de que saldr\u00e1n hoy 21 de octubre a las 14:00h UTC, esto es, a las 16:00 hora de Espa\u00f1a peninsular. A partir de ese momento, las vulnerabilidades denominadas por los investigadores de seguridad como PHP2Shell<\/strong> tendr\u00e1n parches disponibles.<\/p>\n

Desde PHP se remiten a la informaci\u00f3n que van a dar una vez est\u00e9n disponibles estos parches<\/strong>. No informan de si estas vulnerabilidades se est\u00e1n explotando actualmente o no. Todo eso, previsiblemente, aparecer\u00e1 una vez est\u00e9n disponibles los parches para los usuarios.<\/p>\n

Todo esto supone un problema para los administradores, ya que no ha habido una divulgaci\u00f3n coordinada, sino que se ha filtrado que existe un problema, cuando a\u00fan no hay una soluci\u00f3n disponible<\/strong>. Aunque la ventana de tiempo es peque\u00f1a, de apenas unas horas, existe riesgo.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Dos vulnerabilidades cr\u00edticas y, por el momento, sin parchear, afectan a PHP y ponen en peligro los sitios web. Este problema se conoce como PHP2Shell. El equipo de seguridad de PHP ha asignado, con fecha de 20 de octubre, a ambos fallos una puntuaci\u00f3n de 9.2 sobre 10 en la escala CVSS 4.0, lo que […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/209263"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=209263"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/209263\/revisions"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=209263"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=209263"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=209263"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}