¿Qué es PHP2Shell? Es el nombre de dos fallas críticas en el núcleo de PHP que permiten tomar el control de un servidor web sin usuario ni contraseña, y que ya se están aprovechando. La solución es actualizar PHP a 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior; si el sistema depende de PHP 8.1 o de una versión anterior, no hay corrección oficial y hay que actuar distinto.
El 20 de octubre de 2026 se filtraron detalles de dos vulnerabilidades en PHP antes de que existiera el parche. Al día siguiente, PHP publicó las versiones corregidas. En menos de 48 horas, firmas de seguridad como watchTowr reportaron ataques reales.
En DCisGlobal lo traducimos a lo que importa para una empresa: qué está en riesgo, cómo saber si te toca y qué hacer hoy, sin entrar en cómo funciona el ataque.
¿Qué es PHP2Shell, en términos de negocio?
PHP es el lenguaje sobre el que funcionan buena parte de los sistemas web de las pymes. PHP2Shell no es una falla de un plugin o de un sistema en particular: está en PHP mismo. Por eso el alcance es tan amplio.
En la práctica, un atacante puede enviar pedidos al sitio y lograr que el servidor ejecute lo que él quiere. Eso abre la puerta a robar datos de clientes, instalar software malicioso, usar el servidor para atacar a otros o dejar el sistema fuera de servicio.
El agravante es el momento: los detalles se conocieron antes que el parche. Cuando eso pasa, la ventana para actualizar con calma desaparece.
¿Hay que resolverlo ya y no hay quién lo haga? En DCisGlobal hacemos la actualización de PHP por PHP2Shell, con revisión de lo que no se puede actualizar. Consultar por WhatsApp
¿Cómo saber si tu empresa está expuesta?
La respuesta depende de una sola cosa: la versión exacta de PHP de cada servidor donde corre un sistema web.
| Rama de PHP | Versión corregida | Situación |
|---|---|---|
| PHP 8.5 | 8.5.12 o posterior | Corregida |
| PHP 8.4 | 8.4.27 o posterior | Corregida |
| PHP 8.3 | 8.3.36 o posterior | Corregida |
| PHP 8.2 | 8.2.35 o posterior | Corregida (pero sin soporte desde el 1 de enero de 2027) |
| PHP 7.4, 8.0 y 8.1 | Sin versión oficial: hay parches mínimos de PHP que algunos proveedores de Linux y de soporte extendido aplican por su cuenta | Expuesta salvo que el proveedor confirme el parche |
| PHP 7.3 y anteriores (incluido PHP 5) | No hay corrección | Expuesta |
¿Tu versión de PHP es segura?
Escribí la versión exacta que corre tu servidor y te decimos al instante si está expuesta y qué hacer.
Cualquier versión por debajo de la corregida de su rama está expuesta. Un PHP 8.3.30, por ejemplo, necesita la actualización igual que uno viejo.
Si nadie en la empresa sabe qué versión corre cada sistema, el proveedor de hosting o el responsable técnico lo puede confirmar en minutos. Ese es el primer paso.
Por qué los sistemas viejos son el caso más grave
Según Sansec, el código afectado existe desde PHP 5.4, publicado en 2012. Eso significa que los sistemas que hace años no se actualizan también están expuestos, y para ellos no hay una versión corregida que instalar.
Son, justamente, los casos que más vemos en diagnósticos: un Vtiger 6 o 7, un Magento 1, un PrestaShop 1.6, un sitio en Joomla 3 o Drupal 7, un sistema a medida hecho con CodeIgniter 3. Ninguno funciona sobre PHP 8.2 o superior sin trabajo previo.
Para esos sistemas, «actualizar PHP» no es un clic: hay que actualizar o adaptar el sistema primero. Lo explicamos en detalle en Actualizar PHP: qué riesgo corre un sistema sin soporte, con la tabla de sistemas y versiones.
Qué hacer hoy, en orden
- Inventariar. Listar los sistemas web de la empresa, en qué servidor corre cada uno y con qué versión exacta de PHP.
- Actualizar lo que se puede actualizar ya. Todo lo que esté en PHP 8.2 a 8.5 se lleva a la versión corregida de su rama. Si el hosting es administrado, pedirle al proveedor que lo confirme por escrito.
- Aislar lo que no se puede actualizar. Para sistemas en PHP 8.1 o anterior: sacarlos de internet abierto (acceso solo por VPN o por direcciones conocidas), confirmar con el proveedor si aplicó el parche no oficial y planificar la salida. PHP publicó medidas parciales que reducen la exposición, pero aclara que no reemplazan la actualización.
- Cambiar credenciales sensibles. Como las fallas pueden exponer memoria del servidor, conviene rotar las contraseñas de las bases de datos, las claves de API (pagos, facturación, correo) y las sesiones de administración de los sistemas expuestos.
- Revisar señales de intrusión. Pedir al responsable técnico que revise los registros del servidor y los procesos en ejecución desde el 20 de octubre. Ante cualquier duda, tratarlo como un incidente.
- Planificar la salida definitiva. Los sistemas que no corren sobre PHP soportado van a seguir apareciendo en el próximo aviso. La solución de fondo es actualizarlos, adaptarlos o migrarlos.
Nuestro servicio: actualización de PHP por PHP2Shell
Para las empresas que necesitan resolverlo ahora, ofrecemos un servicio puntual, en remoto, para España y Latinoamérica. Sirve igual para hosting compartido, servidores virtuales (VPS) o servidores propios.
Qué incluye:
- Revisión de versiones. Relevamos cada servidor y cada sistema web de la empresa con su versión exacta de PHP, y marcamos qué está expuesto.
- Actualización a la versión corregida. Llevamos PHP a 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior. Primero sobre una copia de prueba, verificando que el sistema siga funcionando, y después en producción.
- Plan para lo que no se puede actualizar. Si un sistema depende de PHP 8.1 o anterior, lo aislamos de inmediato, verificamos el parche del proveedor si existe y armamos el plan para actualizarlo o migrarlo.
- Cambio de credenciales. Rotamos las contraseñas de bases de datos, las claves de API y las sesiones de administración de los sistemas que estuvieron expuestos.
- Revisión de señales de intrusión. Revisamos registros y procesos del servidor desde el 20 de octubre, para descartar o detectar un ataque.
- Informe final. Qué se actualizó, qué quedó pendiente y qué conviene hacer después, en lenguaje de negocio.
Consultar por WhatsApp: actualización de PHP por PHP2Shell
Si se prefiere una revisión más amplia de toda la infraestructura, está el diagnóstico tecnológico.
Si el sistema necesita más que una actualización (adaptar el código, blindarlo mientras se planifica o migrarlo), lo vemos en modernización de sistemas legacy.
Lo que este caso deja en claro
PHP2Shell no va a ser la última falla de este tipo. Lo que diferencia a una empresa que lo resuelve en una tarde de una que pierde una semana no es la suerte: es saber qué sistemas tiene, sobre qué versión corren y quién puede actualizarlos.
Para la urgencia de hoy está la actualización de PHP por PHP2Shell. Para no volver a quedar atrás, el soporte y mantenimiento de software mantiene cada sistema al día. Y cuando lo que conviene es reemplazar el sistema, lo encaramos desde desarrollo de software a medida.
