Si su empresa tiene un sitio, una tienda o una integración de pagos en PHP y no administra el servidor, la tarea de esta semana es pedirle a su proveedor de hosting que confirme por escrito que aplicó las correcciones de PHP2Shell.
Actualizado el 26/10/2026
BleepingComputer informó una explotación confirmada con evidencia técnica detallada. La registró Adel Karimi, de Perplexity, en servidores trampa (honeypots) con Apache mod_php y PHP 8.4.26, y la confirmó Marcus Hutchins, de Expel. Karimi aclara que la prueba corresponde a una configuración deliberadamente favorable al ataque (un solo proceso de Apache con mod_php) y que no mide qué tan fiable es el ataque en otras configuraciones. Hasta entonces, según BleepingComputer, la actividad registrada se limitaba a escaneos, pruebas de huella y exploits que no funcionaban, sin compromisos conocidos.
¿Qué pasó?
El 21 de octubre de 2026, el proyecto PHP publicó correcciones para dos vulnerabilidades críticas, conocidas en conjunto como PHP2Shell. En determinadas configuraciones, permiten que un atacante ejecute código en el servidor sin tener usuario ni contraseña. Los detalles técnicos y los comandos de verificación están en nuestra nota técnica.
¿Por qué importa?
Si el servidor no tiene las correcciones, un atacante podría ejecutar código en el mismo servidor donde funcionan su sitio, su tienda o su integración de pagos. Como indica el recuadro, ya hay una explotación documentada, aunque en un entorno de prueba y en una configuración favorable al ataque.
¿Qué versiones están corregidas?
| Serie de PHP | Versión corregida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Algunos proveedores corrigen sin cambiar el número, así que pida el paquete exacto. Para PHP 8.1 o anterior, el proyecto PHP ya no publica correcciones: pregunte por el paquete corregido del proveedor o por un plan de migración.
¿Qué hacer?
- Liste los sitios, tiendas e integraciones de pago que usan PHP.
- Envíe a su proveedor o equipo técnico las tres preguntas siguientes.
- Guarde las respuestas por escrito y insista con cada sitio sin confirmar.
Mercado Pago Developers (21/10/2026) pide a sus integradores: «solicitá a tu proveedor de hosting o al equipo técnico una evaluación prioritaria de la versión de PHP y de las correcciones aplicadas». El BA-CSIRT (22/10/2026) recomienda: «consultá con tu proveedor de hosting o con el equipo técnico responsable para confirmar que la actualización haya sido realizada».
¿Qué preguntarle a su proveedor?
- Versión y paquete. ¿Qué PHP ejecuta cada sitio y tiene las correcciones?
- Compatibilidad. ¿Quién comprueba que el sitio y los pagos funcionan después de actualizar, y está incluido en lo que usted ya paga?
- Confirmación. ¿Cuándo se aplicó y con qué comando o registro se comprobó?
Respuesta buena frente a respuesta vaga
El número de versión visible no alcanza: el mismo número puede corresponder a una instalación corregida o no. En Ubuntu 24.04, por ejemplo, PHP sigue mostrando 8.3.6 y la corrección está en el paquete 8.3.6-0ubuntu0.24.04.13 o posterior. Los paneles de hosting también publicaron sus propias actualizaciones.
Una respuesta que sirve incluye:
- el paquete o la versión exacta de PHP de cada sitio (en cPanel, los paquetes ea-php actualizados);
- si usa Plesk, además, la actualización del propio panel (18.0.81 Update 4 o 18.0.80 Update 11);
- la fecha en que se aplicó;
- cómo se comprobó;
- si se reiniciaron los servicios de PHP y del servidor web.
Respuestas que no sirven: «estamos al día», «no se preocupe» o «PHP 8.3.6» sin paquete ni fecha. Si recibe una de estas, vuelva a enviar las tres preguntas. Su equipo técnico puede contrastar la respuesta con la nota técnica.
¿Y si no se puede actualizar ya?
El proyecto PHP describe medidas temporales para su proveedor, como session.upload_progress.enabled=0, que bloquea las vías de ataque confirmadas de una de las dos vulnerabilidades, pero no otras variantes. El propio proyecto aclara que estas medidas reducen la exposición, pero no hacen segura la instalación. No reemplazan la actualización.
Sobre AXR Global
En AXR Global instalamos, configuramos y mantenemos servidores Linux, y brindamos soporte de Apache, PHP, MySQL y PostgreSQL. En nuestra administración Linux, las actualizaciones de seguridad del sistema y de n8n forman parte del abono mensual. No nos limitamos a la actualización: después revisamos que su sitio o aplicación siga funcionando. Si quiere que revisemos su servidor, escríbanos por WhatsApp al +54 11 5524.9506, de 9 a 17 (hora argentina).