{"id":3019,"date":"2026-10-23T00:55:12","date_gmt":"2026-10-22T15:55:12","guid":{"rendered":"https:\/\/onepress.co.kr\/?post_type=briefing&p=3019"},"modified":"2026-10-23T00:57:01","modified_gmt":"2026-10-22T15:57:01","slug":"2026-10-23-php2shell-es","status":"publish","type":"briefing","link":"https:\/\/onepress.co.kr\/index.php\/briefing\/2026-10-23-php2shell-es\/","title":{"rendered":"Correcci\u00f3n urgente de PHP: actualizar solo WordPress puede dejar expuesto el sistema"},"content":{"rendered":"

2026-10-23 00:55:12 KST<\/strong><\/p>\n

El proyecto PHP public\u00f3 el 21 de octubre correcciones urgentes para dos fallos que pueden permitir ejecutar c\u00f3digo sin iniciar sesi\u00f3n.<\/p>\n

La exposici\u00f3n depende de la configuraci\u00f3n y de las rutas de ejecuci\u00f3n; no significa que todas las webs con PHP hayan sido atacadas con \u00e9xito.<\/p>\n

El fallo est\u00e1 debajo de la aplicaci\u00f3n<\/h2>\n

WordPress y otros servicios funcionan sobre el entorno de ejecuci\u00f3n PHP. PHP2Shell afecta a la gesti\u00f3n de memoria y al tratamiento de errores de esa base. Si una petici\u00f3n falla, PHP puede manejar incorrectamente datos incompletos o memoria ya liberada. Actualizar un tema, complemento o WordPress no garantiza que tambi\u00e9n se haya actualizado PHP.<\/p>\n

\u00bfQu\u00e9 versiones incorporan la soluci\u00f3n?<\/h2>\n

Las primeras versiones corregidas de las ramas con soporte son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los identificadores son CVE-2026-109618 y CVE-2026-109619. Un distribuidor puede aplicar el parche conservando una numeraci\u00f3n anterior. Conviene pedir al alojamiento su aviso de seguridad para ambos fallos y comprobar qu\u00e9 PHP procesa realmente las peticiones web.<\/p>\n

\"Correcci\u00f3n
Ilustraci\u00f3n explicativa generada por IA; no es foto real de un lugar, almac\u00e9n, obra expuesta u observaci\u00f3n, ni reproduce arquitectura, niveles de agua u \u00f3rbitas a escala.<\/figcaption><\/figure>\n

El cortafuegos a\u00f1ade una capa<\/h2>\n

Cloudflare afirma haber observado intentos de ataque en el tr\u00e1fico de sus clientes y haber desplegado medidas de mitigaci\u00f3n. Detectar tr\u00e1fico hostil no demuestra que todos los intentos funcionaran. La empresa particip\u00f3 en la divulgaci\u00f3n coordinada y no es totalmente ajena a la investigaci\u00f3n. Sus observaciones son una comprobaci\u00f3n adicional, pero su cortafuegos no sustituye el parche.<\/p>\n

Qu\u00e9 debe comprobar el administrador<\/h2>\n

Tras revisar la compatibilidad y hacer copias de seguridad, el administrador debe instalar los paquetes corregidos y reiniciar el servidor web, PHP-FPM y los procesos persistentes pertinentes. El PHP de la terminal puede diferir del de la web. Un visitante no puede determinar el estado del parche al abrir una p\u00e1gina. Las siguientes referencias son el aviso oficial de PHP y el historial del proveedor; este texto no diagnostica una intrusi\u00f3n en ninguna web concreta.<\/p>\n

Fuentes primarias y comprobaciones independientes<\/h2>\n

Fuente primaria: la Fundaci\u00f3n PHP detalla versiones corregidas, exposici\u00f3n condicional, los dos CVE y divulgaci\u00f3n: PHP Foundation \u00b7 2026-10-21<\/a><\/p>\n

Comprobaci\u00f3n adicional: tr\u00e1fico de sus clientes y mitigaci\u00f3n; particip\u00f3 en la divulgaci\u00f3n, no es una instituci\u00f3n ajena: Cloudflare \u00b7 2026-10-21<\/a><\/p>\n

Aviso de investigaci\u00f3n: versiones corregidas y actualizaci\u00f3n\/reinicio del entorno; no reproducimos instrucciones de ataque: PHP2Shell \u00b7 research advisory<\/a><\/p>\n

Leer en otros idiomas<\/h2>\n

\ud55c\uad6d\uc5b4<\/a> \u00b7 English<\/a> \u00b7 Espa\u00f1ol<\/a> \u00b7 \u65e5\u672c\u8a9e<\/a> \u00b7 Ti\u1ebfng Vi\u1ec7t<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

PHP2Shell afecta al propio PHP. Hay que comprobar el entorno que atiende la web y los parches del distribuidor.<\/p>\n","protected":false},"featured_media":0,"template":"","meta":[],"class_list":["post-3019","briefing","type-briefing","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/onepress.co.kr\/index.php\/wp-json\/wp\/v2\/briefing\/3019","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/onepress.co.kr\/index.php\/wp-json\/wp\/v2\/briefing"}],"about":[{"href":"https:\/\/onepress.co.kr\/index.php\/wp-json\/wp\/v2\/types\/briefing"}],"wp:attachment":[{"href":"https:\/\/onepress.co.kr\/index.php\/wp-json\/wp\/v2\/media?parent=3019"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}