Actualizado el 23 de octubre de 2026. El equipo de PHP publicó el 21 de octubre parches urgentes para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell. Ambas tienen una calificación CVSS v4.0 de 9,2 y pueden permitir ejecución remota de código sin autenticación en determinadas condiciones.
Si administrás un servidor con PHP, Laravel, WordPress u otra aplicación PHP, esta guía te ayuda a identificar las versiones corregidas, revisar tu instalación y aplicar las actualizaciones con precaución.
¿Qué pasó con PHP en octubre de 2026?
Las vulnerabilidades afectan a componentes internos del intérprete y están relacionadas con errores de gestión de memoria. El problema puede ocurrir antes de que la aplicación procese normalmente una petición, por lo que validar correctamente los datos en Laravel o WordPress no reemplaza el parche del motor PHP. Comunicado oficial de PHP.
¿Qué son CVE-2026-109618 y CVE-2026-109619?
Las dos fallas, denominadas PHP2Shell en reportes de seguridad, incluyen situaciones de uso de memoria después de liberarla (use-after-free) relacionadas con gestión de errores y limpieza de peticiones. Bajo condiciones específicas pueden habilitar ejecución de código no autorizado. No significa que todos los sitios con PHP sean automáticamente explotables de la misma manera.
Versiones de PHP corregidas
| Rama | Versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Atención: PHP 8.1 y ramas anteriores están fuera del ciclo normal de soporte. Existen parches de código fuente y correcciones de determinados proveedores para algunas ramas antiguas, pero no conviene suponer que una instalación está protegida sin verificar el paquete exacto. En distribuciones Linux puede haber parches retroportados (backports) que mantienen el número de versión original.
Cómo comprobar qué PHP está usando tu servidor
Primero verificá PHP en la terminal:
php -v
Ese comando muestra la versión CLI, que puede diferir de la utilizada por Apache o PHP-FPM. Para conocer los procesos activos en Linux podés ejecutar:
ps aux | grep -E 'php-fpm|httpd|apache2'
Si usás PHP-FPM, verificá también la versión de su ejecutable o servicio según tu sistema. Identificá el origen de los paquetes instalados y comprobá sus avisos de seguridad antes de sacar conclusiones.
Actualizar PHP en Ubuntu o Debian
Revisá el repositorio de paquetes y las versiones candidatas antes de actualizar:
sudo apt update apt list --upgradable apt-cache policy php8.3-fpm
Aplicá las actualizaciones de seguridad disponibles siguiendo el procedimiento de mantenimiento del servidor. Si corresponde a tu configuración:
sudo apt upgrade
Después comprobá la versión y reiniciá, de forma controlada, el servicio PHP-FPM o Apache que realmente ejecuta la aplicación. Una actualización general no garantiza por sí sola que el repositorio ya tenga un paquete corregido.
Actualizar PHP en AlmaLinux, Rocky Linux o CentOS
En distribuciones modernas basadas en RHEL, revisá primero los paquetes y el repositorio desde el que se instaló PHP:
sudo dnf check-update rpm -qa | grep -E '^php|^ea-php'
Si tu repositorio ofrece una versión corregida, realizá la actualización correspondiente mediante el gestor de paquetes:
sudo dnf upgrade
En instalaciones antiguas puede utilizarse yum. Si PHP proviene de un repositorio externo o panel de hosting, verificá específicamente sus anuncios y la versión de paquete con el parche. Probá compatibilidad de extensiones y aplicaciones antes de cambiar de rama mayor.
¿Laravel y WordPress están afectados?
Ambos funcionan sobre PHP. Actualizar Laravel, sus dependencias, WordPress o sus plugins es recomendable para la seguridad general, pero no sustituye la actualización del intérprete PHP. El nivel real de exposición depende de las versiones, la SAPI (por ejemplo, mod_php o PHP-FPM), la configuración y el entorno.
Cómo revisar errores y actividad sospechosa
Tras asegurar la actualización, es útil revisar registros para detectar comportamientos anómalos. En servidores que usan Apache sobre sistemas RHEL:
sudo tail -n 100 /var/log/httpd/error_log
También podés consultar errores del sistema desde el 20 de octubre:
sudo journalctl -p err --since "2026-10-20"
Un error 500, una caída de Apache o un mensaje de memoria no demuestran por sí solos una explotación. La ausencia de errores tampoco descarta que haya ocurrido. Si sospechás un compromiso, preservá los logs y seguí un procedimiento de respuesta a incidentes.
¿Alcanza con una mitigación temporal?
No. El proyecto PHP indica que no existe una mitigación completa que sustituya a instalar las correcciones. Mientras se planifica el parche, pueden evaluarse medidas de reducción de exposición, pero nunca deben presentarse como equivalentes a una actualización.
Preguntas frecuentes
¿Debo actualizar si mi sitio funciona normalmente? Sí, si utilizás una versión afectada y no tiene un parche retroportado confirmado. El funcionamiento normal no descarta vulnerabilidades.
¿Puedo verificar la seguridad solamente con php -v? No. Revisá también el PHP que atiende las solicitudes web y el estado de parches del proveedor.
¿Qué pasa con PHP 7.4? Está fuera del soporte estándar. Algunas fuentes ofrecen parches específicos, pero migrar a una rama vigente es la solución sostenible.
Conclusión
Estas vulnerabilidades muestran por qué la seguridad de una aplicación depende también del entorno donde se ejecuta. Identificá la versión real de PHP, consultá los avisos del proveedor, instalá los parches y verificá el servicio después del mantenimiento.
Fuentes y documentación
- Aviso oficial de seguridad de PHP, 21/10/2026
- Descargas oficiales de PHP
- Anuncio oficial de PHP 8.3.36
Seguí aprendiendo PHP
Encontrá más tutoriales, ejemplos y ejercicios en nuestra ruta de aprendizaje PHP desde cero.
¿Te sirvió esta guía? ☕
Si este contenido te ayudó y querés apoyar a Club Programador para seguir publicando guías, ejercicios y proyectos gratuitos, podés colaborar mediante:
Descubre más desde Club Programador
Suscríbete y recibe las últimas entradas en tu correo electrónico.
