{"id":73876,"date":"2026-11-10T11:54:06","date_gmt":"2026-11-10T10:54:06","guid":{"rendered":"https:\/\/www.hiberus.com\/crecemos-contigo\/?p=73876"},"modified":"2026-11-10T11:54:06","modified_gmt":"2026-11-10T10:54:06","slug":"php2shell-seguridad-en-php","status":"publish","type":"post","link":"https:\/\/www.hiberus.com\/crecemos-contigo\/php2shell-seguridad-en-php\/","title":{"rendered":"PHP2Shell y la seguridad de las plataformas PHP. Qu\u00e9 hacer antes y despu\u00e9s del parche"},"content":{"rendered":"

PHP2Shell es el nombre de dos vulnerabilidades cr\u00edticas del int\u00e9rprete PHP, CVE-2026-109618 y CVE-2026-109619<\/strong>, que pueden permitir la ejecuci\u00f3n remota de c\u00f3digo en el servidor sin autenticaci\u00f3n. El 21 de octubre de 2026, el proyecto PHP public\u00f3 las versiones de emergencia 8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/strong> para corregirlas. El riesgo afecta a las instalaciones vulnerables que atienden peticiones web con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed, seg\u00fan el aviso oficial de PHP<\/a>.<\/p>\n

Lo m\u00e1s revelador fue d\u00f3nde estaba el fallo. Afectaba al int\u00e9rprete sobre el que funcionan Drupal, WordPress y muchas otras plataformas. Para corregirlo hab\u00eda que actualizar PHP, aunque el CMS y sus plugins estuvieran al d\u00eda. Y en muchas organizaciones, esa es justo la capa de la que nadie se siente del todo responsable.<\/p>\n

\u00bfQu\u00e9 sistemas est\u00e1n expuestos a PHP2Shell?<\/strong><\/h2>\n

PHP no es solo el lenguaje de millones de webs. Tambi\u00e9n va integrado en consolas de gesti\u00f3n, dispositivos de red y productos de terceros. El Centro Nacional de Ciberseguridad de Pa\u00edses Bajos (NCSC-NL) mantiene un inventario de productos evaluados por su exposici\u00f3n a PHP2Shell<\/a>. En muchos de ellos, el administrador ni siquiera puede actualizar PHP por su cuenta y depende del fabricante.<\/p>\n

De ah\u00ed la primera lecci\u00f3n. La exposici\u00f3n real de una organizaci\u00f3n casi nunca coincide con su lista de \u00abaplicaciones PHP\u00bb. Incluye im\u00e1genes de contenedor heredadas, entornos de preproducci\u00f3n olvidados, herramientas internas y productos que llevan PHP dentro sin decirlo.<\/p>\n

\u00bfQui\u00e9n debe actualizar PHP en una plataforma gestionada?<\/strong><\/h2>\n

En una plataforma gestionada, la actualizaci\u00f3n del int\u00e9rprete PHP suele corresponder al equipo de sistemas, al servicio de alojamiento o al proveedor que opera la plataforma<\/strong>. El contrato y el reparto de responsabilidades deben dejar claro qui\u00e9n instala el parche, reinicia los procesos y verifica que la versi\u00f3n corregida est\u00e9 en uso.<\/p>\n

El c\u00f3digo de la aplicaci\u00f3n es cosa del equipo de desarrollo<\/strong>. En este caso, su papel era comprobar la compatibilidad del CMS, el framework y las dependencias con la versi\u00f3n corregida de PHP.<\/p>\n

En el per\u00edmetro, un cortafuegos de aplicaciones web (WAF)<\/strong> o una red de distribuci\u00f3n de contenidos (CDN)<\/strong> pod\u00edan aplicar reglas temporales mientras se desplegaba el parche. En los productos de terceros que integran PHP, la correcci\u00f3n depend\u00eda del fabricante. Aislar los sistemas afectados era una opci\u00f3n para reducir la exposici\u00f3n mientras llegaba la actualizaci\u00f3n.<\/p>\n

Cuando cada parte da por hecho que otra se ocupar\u00e1 del int\u00e9rprete, el parche existe pero no llega a producci\u00f3n.<\/p>\n

C\u00f3mo responder a PHP2Shell y verificar que el parche funciona<\/strong><\/h2>\n

La respuesta a PHP2Shell empieza por identificar los sistemas expuestos y termina cuando se ha verificado el parche en producci\u00f3n, se han investigado posibles indicios de intrusi\u00f3n y se ha comunicado el resultado.<\/p>\n

    \n
  1. Detectar el aviso.<\/strong> Seguir los canales oficiales de PHP, de la distribuci\u00f3n y de los proveedores.<\/li>\n
  2. Evaluar el impacto.<\/strong> Saber en horas qu\u00e9 sistemas ejecutan qu\u00e9 versi\u00f3n de PHP, con qu\u00e9 modo de ejecuci\u00f3n y si est\u00e1n expuestos a internet.<\/li>\n
  3. Mitigar la exposici\u00f3n.<\/strong> Aplicar las medidas temporales del aviso del 21 de octubre si el parche no se puede desplegar de inmediato. El 23 de octubre, PHP public\u00f3 adem\u00e1s un aviso sobre una vulnerabilidad relacionada en la gesti\u00f3n de sesiones, CVE-2026-115560, con una medida espec\u00edfica para determinadas configuraciones.<\/li>\n
  4. Parchear PHP.<\/strong> Instalar una versi\u00f3n corregida o el paquete de seguridad de la distribuci\u00f3n. Algunos proveedores incorporan el parche sin adoptar el n\u00famero de versi\u00f3n oficial de PHP. Para confirmarlo, hay que comprobar el aviso de seguridad del proveedor y la versi\u00f3n exacta del paquete instalado.<\/li>\n
  5. Validar el despliegue.<\/strong> Reiniciar los procesos que atienden peticiones web y comprobar que usan el binario corregido. Un parche instalado con los procesos antiguos todav\u00eda en marcha deja esos procesos expuestos.<\/li>\n
  6. Revisar si hubo intrusi\u00f3n.<\/strong> CISA a\u00f1adi\u00f3 ambas vulnerabilidades a su cat\u00e1logo de vulnerabilidades explotadas (KEV) el 26 de octubre. Seg\u00fan Acquia, se observ\u00f3 al menos un intento de explotaci\u00f3n antes de que se publicara el parche. La Drupal Association anunci\u00f3 que estaba auditando su infraestructura en busca de actividad sospechosa anterior a la actualizaci\u00f3n. Cobertura de la inclusi\u00f3n en el cat\u00e1logo KEV \u00b7 Auditor\u00eda de la infraestructura de Drupal.org<\/li>\n
  7. Comunicar el estado.<\/strong> Explicar qu\u00e9 se ha hecho, qu\u00e9 queda pendiente y qu\u00e9 debe hacer cada parte.<\/li>\n<\/ol>\n

    Instalar el parche es solo el cuarto paso. Para cerrar el incidente hay que confirmar que la correcci\u00f3n est\u00e1 activa en todos los sistemas afectados y revisar qu\u00e9 pudo ocurrir mientras estuvieron expuestos.<\/p>\n

    C\u00f3mo Acquia aplic\u00f3 el parche de PHP2Shell y mantuvo los sitios Drupal en l\u00ednea<\/strong><\/h2>\n

    Acquia, una plataforma gestionada de referencia en el ecosistema Drupal y de la que hiberus es partner, explic\u00f3 c\u00f3mo gestion\u00f3 PHP2Shell en su publicaci\u00f3n del 2 de noviembre. Seg\u00fan su relato:<\/p>\n