El 21 de octubre de 2026, el proyecto PHP publicó dos vulnerabilidades de seguridad críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas también entre los expertos como «PHP2Shell». Ambas están clasificadas como críticas con una puntuación CVSS de 9.2. Queremos informarle con total transparencia sobre lo que esto significa y lo que estamos haciendo.
Ambos fallos se encuentran en el núcleo del propio PHP: no en una aplicación concreta, sino en el lenguaje de programación en el que se basa gran parte de los sitios web, entre ellos WordPress, Joomla, Magento y muchos más. En el peor de los casos, un atacante puede ejecutar su propio código en un servidor mediante peticiones especialmente preparadas, sin iniciar sesión.
Un error en el tratamiento de situaciones de falta de memoria (out of memory) puede hacer que PHP procese datos inicializados solo a medias durante la limpieza. Las peticiones preparadas pueden provocar este estado de forma intencionada.
Los datos de una petición anterior pueden permanecer en la memoria aunque esta ya se haya liberado. Una petición posterior al mismo proceso PHP puede acceder a ellos, con el riesgo de que se ejecute código o se filtren contenidos de la memoria.
Se ven afectados todos los modos de funcionamiento habituales de PHP, como PHP-FPM, Apache mod_php, CGI/FastCGI y LiteSpeed.
Inmediatamente después de la publicación, nuestro equipo técnico instaló con la máxima urgencia las actualizaciones de seguridad en todos los sistemas que gestionamos.
Actualización del 22 de octubre de 2026: todos los sistemas gestionados por nosotros están completamente actualizados y parcheados. Como cliente de webhosting, no necesita hacer nada más para corregir las vulnerabilidades.
Sus sitios web, sus datos y su configuración no se han visto afectados por las actualizaciones.
«La seguridad de sus sitios web y de sus datos es nuestra máxima prioridad. Por eso reaccionamos de inmediato y protegimos sin demora todos nuestros sistemas.»
Nuestros servidores de webhosting ya están actualizados. Aun así, le recomendamos comprobar en Plesk qué versión de PHP utiliza su sitio web: hay correcciones oficiales para PHP 8.2, 8.3, 8.4 y 8.5. Para PHP 7.4 a 8.1 solo existen correcciones limitadas, y PHP 7.3 y anteriores ya no reciben ninguna. Siempre que sea posible, cambie su sitio web a PHP 8.2 o superior.
Mantenga también actualizados su CMS (p. ej. WordPress) y todos sus temas y plugins.
En su vServer con acceso root, usted mismo gestiona el software instalado. Actualice PHP de inmediato a una versión corregida (8.5.12, 8.4.27, 8.3.36 u 8.2.35 o posterior) o instale las actualizaciones de seguridad de su distribución Linux o de su panel de control (p. ej. Plesk). A continuación, reinicie todos los servicios PHP (p. ej. PHP-FPM) para que la corrección surta efecto.
¿Tiene preguntas sobre las vulnerabilidades o sobre su versión de PHP, o necesita ayuda para actualizar su vServer? Nuestro equipo de soporte está a su disposición a través de nuestro sistema de tickets. Muchas gracias por su confianza y comprensión.