Tu PHP está abierto. Lo cerramos hoy.
PHP2Shell (CVE-2026-109618 y CVE-2026-109619) deja que cualquiera ejecute código en tu servidor con una sola petición, sin usuario ni contraseña. El exploit ya es público. Actualizamos tu PHP, revisamos si alguien entró antes y te entregamos el reporte.
- Severidad
- CVSS 9.2 crítica
- Acceso necesario
- Ninguno
- Parche oficial
- 21 oct 2026
- Versiones seguras
- 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
¿Qué es PHP2Shell?
Son dos fallas críticas en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619, CVSS 9.2) que permiten ejecutar código remoto sin autenticación, antes de que corra tu aplicación. Afectan a PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP las corrigió el 21 de octubre de 2026 en 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Fuente: php.net, anuncio de seguridad del 21 de octubre de 2026.
Actualizar es la mitad del trabajo. La otra mitad es saber si ya entraron.
Los detalles técnicos se filtraron horas antes del parche y ya hay exploits funcionales publicados. Un atacante no necesita tu contraseña ni un plugin vulnerable: le basta una petición.
Si alguien entró antes de que actualizaras, el parche cierra la puerta pero deja adentro lo que ya instaló: un webshell, un usuario administrador nuevo, un cron que regresa cada hora. Por eso no vendemos un update suelto.
758 mil servidores en internet anuncian ramas de PHP sin soporte (5.4 a 8.1). Para ellas no hay parche oficial. (VirusTotal, 21 oct 2026)
Tres formas de dejarlo cerrado.
Empieza por la que necesitas hoy. Cotizamos según tus servidores y tu stack, no con una tarifa genérica.
Parche de emergencia: En menos de 24 h
Tu PHP actualizado a la versión corregida, sin tumbar el sitio.
- Inventario de servidores, pools de PHP-FPM y versiones
- Mitigación inmediata en php.ini mientras se actualiza
- Actualización a 8.5.12, 8.4.27, 8.3.36 u 8.2.35
- Pruebas de tu sitio antes y después
- Plan de reversa si algo falla
Parche + auditoría de compromiso: 24 a 72 h
Todo lo del parche, más la respuesta a la pregunta que importa: ¿ya entraron?
- Todo lo del parche de emergencia
- Búsqueda de webshells y archivos modificados
- Revisión de logs desde la filtración
- Usuarios, cron jobs y llaves SSH nuevos
- Rotación de credenciales si hace falta
- Reporte firmado para tu equipo o tu cliente
Migración de versión sin soporte: Según el tamaño del código
Para PHP 5.x, 7.x, 8.0 y 8.1, que no van a recibir este parche.
- Mitigación el mismo día mientras migramos
- Análisis de compatibilidad de tu código y plugins
- Migración a PHP 8.4 u 8.5 en un entorno de pruebas
- Corrección de lo que se rompa
- Salida a producción con monitoreo
Así trabajamos desde que nos escribes.
- Diagnóstico gratis. Revisamos tu dominio desde afuera y te decimos qué versión expones y qué tan urgente es.
- Mitigación. Antes de tocar versiones, aplicamos los ajustes de php.ini que cierran el vector conocido.
- Actualización. Actualizamos con pruebas antes y después y un plan de reversa listo.
- Auditoría y reporte. Buscamos señales de intrusión y te entregamos qué encontramos, qué cambiamos y qué sigue.
Si no puedes actualizar en la próxima hora, haz esto.
Es la mitigación temporal que publicó PHP. No sustituye la actualización ni cubre necesariamente todos los vectores, pero reduce la exposición hoy. Después de cambiarlo, recarga PHP-FPM, Apache o LiteSpeed.
session.upload_progress.enabled = 0
post_max_size = 8M ; o el mínimo que tu sitio necesite
; solo en PHP 8.5
fatal_error_backtraces = 0Lo que nos están preguntando.
¿Cuánto cuesta actualizar PHP y auditar mi servidor?
Depende de tres cosas: cuántos servidores tienes, si tu versión todavía recibe parches y si quieres la auditoría de compromiso. Un parche en una rama soportada es un trabajo de horas; una migración desde PHP 7.x depende del tamaño de tu código. El diagnóstico es gratis y te damos la cotización cerrada antes de tocar nada.
Mi hosting es compartido. ¿No lo actualizan ellos?
Muchos sí, pero no todos al mismo ritmo, y algunos dejan elegir versiones viejas por compatibilidad. Si tu panel te deja escoger PHP 7.4 u 8.1, tu sitio puede seguir expuesto aunque el servidor tenga una rama nueva disponible. Lo revisamos y, si hace falta, gestionamos el cambio con tu proveedor.
Uso WordPress, Laravel o Magento. ¿Me afecta?
Sí. La falla está en PHP, no en tu aplicación, y se dispara antes de que tu código corra. Tener WordPress o Laravel actualizados no te protege de esta.
Tengo Cloudflare. ¿Ya estoy protegido?
Cloudflare publicó reglas de WAF para los vectores conocidos, incluso en el plan gratuito. Ayudan, pero solo si tu servidor de origen no es accesible directamente, y no sustituyen el parche. Revisamos ambas cosas.
Mi sitio corre en PHP 7.4. ¿Qué hago?
PHP 7.4 ya no recibe actualizaciones oficiales. Hoy aplicamos la mitigación y evaluamos si tu proveedor ofrece un backport. En paralelo planeamos la migración a 8.4 u 8.5, que es la única salida que no tendrás que repetir en la próxima falla.
¿Pueden trabajar sin acceso root?
Para la auditoría completa necesitamos acceso al servidor. Si solo tienes un panel de hosting, hacemos lo que el panel permite y te decimos con exactitud qué quedó fuera de alcance.
Pide tu diagnóstico gratis.
Mándanos tu dominio. Te decimos qué versión expones, qué tan urgente es y cuánto cuesta cerrarlo.