Corrección urgente de PHP: actualizar solo WordPress puede dejar expuesto el sistema

El proyecto PHP publicó el 21 de octubre correcciones urgentes para dos fallos que pueden permitir ejecutar código sin iniciar sesión.

La exposición depende de la configuración y de las rutas de ejecución; no significa que todas las webs con PHP hayan sido atacadas con éxito.

El fallo está debajo de la aplicación

WordPress y otros servicios funcionan sobre el entorno de ejecución PHP. PHP2Shell afecta a la gestión de memoria y al tratamiento de errores de esa base. Si una petición falla, PHP puede manejar incorrectamente datos incompletos o memoria ya liberada. Actualizar un tema, complemento o WordPress no garantiza que también se haya actualizado PHP.

¿Qué versiones incorporan la solución?

Las primeras versiones corregidas de las ramas con soporte son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los identificadores son CVE-2026-109618 y CVE-2026-109619. Un distribuidor puede aplicar el parche conservando una numeración anterior. Conviene pedir al alojamiento su aviso de seguridad para ambos fallos y comprobar qué PHP procesa realmente las peticiones web.

El cortafuegos añade una capa

Cloudflare afirma haber observado intentos de ataque en el tráfico de sus clientes y haber desplegado medidas de mitigación. Detectar tráfico hostil no demuestra que todos los intentos funcionaran. La empresa participó en la divulgación coordinada y no es totalmente ajena a la investigación. Sus observaciones son una comprobación adicional, pero su cortafuegos no sustituye el parche.

Qué debe comprobar el administrador

Tras revisar la compatibilidad y hacer copias de seguridad, el administrador debe instalar los paquetes corregidos y reiniciar el servidor web, PHP-FPM y los procesos persistentes pertinentes. El PHP de la terminal puede diferir del de la web. Un visitante no puede determinar el estado del parche al abrir una página. Las siguientes referencias son el aviso oficial de PHP y el historial del proveedor; este texto no diagnostica una intrusión en ninguna web concreta.

Fuentes primarias y comprobaciones independientes

Fuente primaria: la Fundación PHP detalla versiones corregidas, exposición condicional, los dos CVE y divulgación: PHP Foundation · 2026-10-21

Comprobación adicional: tráfico de sus clientes y mitigación; participó en la divulgación, no es una institución ajena: Cloudflare · 2026-10-21

Aviso de investigación: versiones corregidas y actualización/reinicio del entorno; no reproducimos instrucciones de ataque: PHP2Shell · research advisory

Leer en otros idiomas

한국어 · English · Español · 日本語 · Tiếng Việt