PHP2Shell: cómo auditamos nuestra exposición a las vulnerabilidades críticas de PHP
Dos vulnerabilidades críticas del motor de PHP, divulgadas el 21 de octubre de 2026, y el método con el que revisamos si nuestra infraestructura estaba expuesta.
El 21 de octubre de 2026 se divulgaron dos vulnerabilidades críticas en el motor de PHP. Así las analizamos y cómo organizamos la revisión de nuestros servidores.
Este artículo complementa el comunicado Experto Legal refuerza la seguridad de sus servidores ante vulnerabilidades críticas de PHP, que cuenta qué medidas aplicamos. Acá explicamos el problema y el método.
¿Qué es PHP2Shell?
Se conoce como PHP2Shell al par de vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619.
- Gravedad crítica: tienen una puntuación CVSS 4.0 de 9.2 sobre 10.
- Ejecución remota de código (RCE) sin autenticación: en las condiciones adecuadas, una persona sin credenciales podría hacer que un servidor vulnerable ejecute código ajeno.
- Afectan al motor de PHP, no a un framework o gestor de contenidos en particular. Por eso pueden alcanzar a aplicaciones empresariales, tiendas en línea y sistemas a medida, sin importar cómo estén construidos.
- Ya hay parches disponibles. La recomendación es revisar la exposición y actualizar cuanto antes.
Tener una versión afectada no significa que un sistema haya sido atacado. Significa que conviene verificarlo y corregirlo.
Nuestro método: primero diagnosticar, después intervenir
Para estas revisiones seguimos una regla simple: primero diagnosticar, después intervenir.
- Diagnóstico en solo lectura. La auditoría comienza sin modificar archivos, sin instalar paquetes y sin ejecutar pruebas de explotación.
- Autorización expresa. Cualquier intervención posterior se hace únicamente después de aprobarla de forma explícita.
- Plan de remediación. Con el diagnóstico se arma un plan con prioridades, contención y recuperación.
Qué se revisa
- Infraestructura: sistema operativo, servidor web, versiones de PHP y servicios en ejecución.
- Exposición: qué partes del sistema son alcanzables desde Internet.
- Registros e indicadores de compromiso: señales que indiquen un uso indebido de la vulnerabilidad.
- Dependencias y extensiones: componentes de terceros que puedan estar desactualizados.
El apoyo de la inteligencia artificial
Para acelerar el análisis de configuraciones, identificar riesgos y preparar los planes de remediación utilizamos Claude, el asistente de inteligencia artificial de Anthropic, en su versión para desarrollo (Claude Code). Lo usamos como apoyo, siempre bajo supervisión técnica de nuestro equipo: la decisión de intervenir y la responsabilidad por lo que se hace son humanas.
Qué recomendamos
Si administrás un sitio o una aplicación que usa PHP, revisá la versión instalada, aplicá las actualizaciones de seguridad disponibles y, si no estás seguro de tu exposición, hacé primero un diagnóstico en solo lectura antes de cambiar nada.
Una versión más detallada de este análisis está en el artículo original: PHP2Shell: auditoría de seguridad 2026.
Equipo de Experto Legal
Tecnología, seguridad y mejora continua.
Publicado el 23 de octubre de 2026.
Equipo de Experto Legal. Publicado el 23 de octubre de 2026.