El 21 de octubre de 2026, el equipo de PHP publicó actualizaciones de seguridad urgentes para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE), identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación CVSS v4.0 de 9.2. Algunos investigadores las han bautizado como “PHP2Shell”.
Según el aviso oficial, un atacante sin autenticarse podría aprovecharlas. El riesgo es mayor en servidores que usan mod_php, donde el ataque puede ocurrir antes de que se ejecute el código de la aplicación.
Versiones corregidas
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Para PHP 7.4, 8.0 y 8.1, que ya no reciben soporte, el proyecto publicó solo parches de código fuente. El propio aviso indica que la única solución completa es actualizar.
¿Qué hacer?
- Revise qué versión de PHP usan sus sitios (en hostings como Hostinger o cPanel aparece en el panel de configuración de PHP).
- Actualice a la última versión de su rama, empezando por los sitios expuestos a internet.
- Si usa PHP 8.1 o anterior, planifique la migración a una versión con soporte.
Fuente: PHP.net – News Archive 2026 (Security advisory, 21 Oct 2026)