PHP2Shell explota fallos críticos de PHP y varios países alertan: alternativa gratuita a WordPress para webs de empresa

El 21 de octubre de 2026, PHP publicó una actualización de seguridad urgente que corrige dos vulnerabilidades graves, CVE-2026-109618 y CVE-2026-109619. Un atacante no necesita iniciar sesión: le basta una sola petición para ejecutar código arbitrario en el servidor.

Wiz Research, que descubrió las vulnerabilidades, encadenó ambas en un script de explotación llamado PHP2Shell y demostró la ejecución remota de código sin autenticación en las versiones más recientes de WordPress, Drupal y Joomla (Wiz).

WordPress funciona sobre PHP. Esta vez el fallo está en el propio PHP, así que tener WordPress y los plugins actualizados no sirve de nada: todas las webs corporativas hechas con WordPress tienen que actuar.

Vulnerabilidades críticas de PHP CVE-2026-109618 y CVE-2026-109619 y la herramienta de explotación PHP2Shell, CVSS 9.2

Resumen de las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619

Según el aviso de seguridad oficial de PHP:

Elemento	Detalle
Identificadores	CVE-2026-109618, CVE-2026-109619
Nombre oficial	RCE via OOM corruption, RCE via stale global state
Puntuación	CVSS 4.0, 9.2
Consecuencia	Ejecución remota de código (RCE) sin iniciar sesión
Alcance	Todo PHP que atiende peticiones web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed
Mayor riesgo	Apache mod_php: el ataque ocurre antes de que se ejecute el código de la web
Versiones corregidas	PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
Sin parche oficial	PHP 8.1 y anteriores

CVE-2026-109618: cuando PHP se queda sin memoria (OOM), puede interrumpirse con los datos de la petición inicializados solo a medias; después, al limpiar la petición, usa esos datos inválidos como si fueran válidos.
CVE-2026-109619: tras terminar una petición y liberar la memoria, parte del estado interno sigue ahí, y el mismo proceso worker puede usar ese estado caducado al atender la siguiente petición.

Alertas en varios países y webs cerradas de urgencia

Todas las horas siguientes corresponden al 21 de octubre de 2026.

CERT-EU de la Unión Europea (NL Times), el NCSC del Reino Unido (Patchstack), el NCSC de Países Bajos (Sansec) y la Oficina Nacional de Ciberseguridad de Japón junto con el IPA (Impress Watch) emitieron alertas pidiendo aplicar el parche cuanto antes. La UE, el Reino Unido y Japón recomendaron además desconectar las webs que no pudieran parchearse a tiempo.

Los ataques ya han empezado

El registro en tiempo real de Patchstack, empresa de seguridad para WordPress:

UTC 07:34: varios proveedores de hosting informan de ataques contra webs.
UTC 07:43: el CTO de Cloudflare dice haber visto los primeros ataques y activa reglas de firewall.
UTC 13:52: PHP publica las versiones corregidas.
UTC 13:57: Patchstack sigue viendo solo ataques de sondeo y prevé que aumenten cuando se publiquen los detalles del parche.

La herramienta PHP2Shell de Wiz Research atacando WordPress: identifica el objetivo automáticamente y ejecuta comandos

El Centro Nacional de Ciberseguridad de Países Bajos (NCSC) afirmó entonces que aún no había confirmado ataques reales. Como referencia: en junio de 2024, tras publicarse la vulnerabilidad de PHP CVE-2024-4577, Akamai detectó intentos de ataque en menos de 24 horas (The Hacker News).

Webs del Gobierno de Países Bajos y Finlandia, desconectadas

La web de la Cámara de Representantes neerlandesa (Tweede Kamer) se desconectó temporalmente. También se suspendieron las webs del club de fútbol Fortuna Sittard, el sindicato policial ACP, la Real Asociación de Farmacéuticos KNMP y la empresa de transporte EBS, así como parte de la red informática que comparten universidades e instituciones de investigación neerlandesas (NL Times).
La propia web del NCSC neerlandés, la web tecnológica Tweakers y el medio de seguridad Security.NL quedaron fuera de línea (Sansec).
El sistema de identificación del Gobierno neerlandés DigiD y el portal administrativo MijnOverheid suspendieron el servicio (Patchstack).
Valtori, el centro de TI del Gobierno finlandés, cerró las webs públicas de varios organismos estatales, entre ellos el Servicio Nacional de Topografía de Finlandia y el Centro de Exposiciones y Convenciones de Helsinki (Pasquale Pillitteri).

Japón: la primera ministra Takaichi hace un llamamiento nocturno; pixiv, DMM y otros, en mantenimiento de urgencia

A las 21:55, hora de Japón, la primera ministra Sanae Takaichi publicó en X (recogido por Impress Watch):

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

En resumen: comprueben esta noche si su web usa PHP y apliquen el parche en cuanto salga a las 23:00, hora de Japón; quien no llegue a tiempo puede suspender la web temporalmente.

La Oficina Nacional de Ciberseguridad de Japón y el IPA también emitieron alertas, y algunos gobiernos locales anunciaron paradas temporales de sus sistemas. Servicios citados en el mismo artículo:

La plataforma de tiendas online BASE y el servicio para guarderías CoDMON entraron en mantenimiento desde la tarde;
pixiv, DMM.com, niconico y Sakura Internet hicieron mantenimiento de urgencia en parte de sus servicios, y a partir de las 20:00 se suspendieron muchos servicios;
Juegos como Granblue Fantasy y Umamusume: Pretty Derby suspendieron su servicio.

El modo mantenimiento de WordPress no protege

Sansec señala que el modo mantenimiento integrado en WordPress y Magento no sirve: PHP ya ha procesado la petición antes de que la aplicación compruebe el interruptor de mantenimiento. Lo eficaz es detener PHP-FPM y que el servidor web devuelva directamente una página de mantenimiento estática.

Así que esa noche una web corporativa en WordPress solo tenía dos opciones: que alguien entrara al servidor a actualizar PHP o cerrar la web entera. Las webs sin nadie a cargo solo podían seguir abiertas y esperar.

Por qué las webs corporativas en WordPress son las más expuestas

Una vulnerabilidad a nivel de PHP no la frena ningún plugin de WordPress. Con mod_php el ataque ocurre antes de que se ejecute el código de la web, así que los plugins de seguridad, los captchas o esconder el panel de administración no sirven. Sansec también lo dice: solo queda actualizar PHP en el servidor, y quien no gestiona su servidor solo puede presionar a su proveedor de hosting.

Muchísimos servidores siguen con versiones de PHP sin soporte. La empresa de seguridad Mallory contó el 20 de octubre mediante Shodan unos 884.000 hosts públicos cuyas cabeceras de respuesta indican PHP 8.1 o anterior, el 59 % de los hosts que informan su versión (unos 1,5 millones). Es un recuento por cabeceras y no significa que todos estén afectados (The Hacker News). Estas versiones no tienen parche oficial: solo queda pedir al hosting un parche adaptado o actualizar PHP, y los temas y plugins antiguos suelen romperse al actualizar.

Cuesta dinero todos los años. Renovación del hosting, cuotas de mantenimiento, licencias anuales de plugins de pago y, si algo sale mal, el coste de la limpieza. Una web que solo presenta la empresa, sus servicios, casos, noticias y empleo tiene que mantener PHP + MySQL funcionando y, además, alguien vigilando el servidor en noches como la del 21 de octubre.

Mi solución: Astro + Cloudflare / GitHub / Vercel / Netlify

Hace dos años que dejé de recomendar WordPress y PHP a mis clientes, y ya he migrado todas sus webs a Astro combinado con Cloudflare, GitHub, Vercel y Netlify. Los planes gratuitos de estas plataformas bastan de sobra para una web corporativa: el hosting no cuesta nada y el resultado es más rápido, más seguro y da menos trabajo que la antigua web en WordPress.

Con esta vulnerabilidad de PHP, las webs de estos clientes no tuvieron que hacer nada y esa noche siguieron funcionando con normalidad. Mi blog zhaojian.net está montado igual y se publica en 12 idiomas.

El método es sencillo:

Astro genera todas las páginas al compilar; lo que se publica es solo HTML, CSS, JS e imágenes;
el código fuente vive en GitHub; para cambiar un texto o añadir una noticia, haces un commit;
Cloudflare Pages / Vercel / Netlify compilan y publican automáticamente al recibir el commit; en pocos minutos está en línea y las páginas se sirven desde una CDN global.

Más segura: en el servidor no hay PHP, ni base de datos, ni página de acceso al panel; herramientas de explotación como PHP2Shell no tienen por dónde entrar. Las futuras vulnerabilidades de PHP, WordPress o plugins no afectarán a la web.

Más rápida: las páginas son archivos ya generados que se sirven desde el nodo CDN más cercano al visitante; carga rápido desde Japón, China, Europa o América.

Gratis y sin mantenimiento: no hay hosting ni servidor que renovar; solo pagas el dominio. No hay servidor al que entrar ni programas que actualizar.

WordPress frente a una web estática con Astro

	Web en WordPress	Web estática con Astro
Programas en ejecución	PHP + MySQL + tema + plugins	Ninguno, solo archivos estáticos
Esta vulnerabilidad de PHP	Afectada: actualizar de madrugada o cerrar la web	No afectada
Coste de hosting	Renovar hosting / servidor cada año	Gratis
Mantenimiento	Actualizar WordPress, plugins y PHP con regularidad	Ninguno
Velocidad	Depende del servidor y de la caché	Servida directamente desde CDN
Actualizar contenido	Entrar al panel y editar	Commit y publicación automática
Multilingüe	Con plugins de idiomas	Páginas por idioma generadas al compilar

Funciones que leen y escriben datos en tiempo real, como tienda online, área de miembros o reservas, requieren una planificación aparte. Lo habitual en una web corporativa —formulario de contacto, noticias, casos, empleo, varios idiomas— se resuelve con una web estática y un servicio de formularios externo.

Pasos para migrar de WordPress a Astro

Inventario de páginas: lista todas las páginas, entradas, imágenes y formularios.
Exportar el contenido: exporta entradas y páginas a Markdown y descarga también las imágenes.
Mantener las URL: conserva las URL originales en lo posible y configura redirecciones 301 para las que cambien, para no perder posiciones en buscadores.
Rehacer el diseño: reproduce el diseño actual o crea uno nuevo, adaptado a móviles.
Sustituir funciones: los formularios pasan a un servicio externo y la analítica, a una solución sin servidor.
Cambiar el dominio: cuando todo esté comprobado, apunta el dominio a la nueva plataforma y no renueves el servidor antiguo al vencer.

Preguntas frecuentes

¿Puede PHP2Shell atacar mi web en WordPress?

Sí. La vulnerabilidad está en el propio PHP: si el PHP del servidor no es 8.5.12, 8.4.27, 8.3.36, 8.2.35 o una versión parcheada por el hosting, está afectado, sea cual sea la versión de WordPress.

¿Activar el modo mantenimiento de WordPress lo evita?

No. PHP procesa la petición antes de que el modo mantenimiento entre en acción. O actualizas PHP, o detienes PHP-FPM y sirves una página de mantenimiento estática.

¿Qué hago si uso PHP 8.1 o una versión anterior?

PHP ya no publica actualizaciones para ellas. Puedes pedir a tu hosting un parche adaptado o actualizar a PHP 8.2 o superior; si el tema o los plugins no son compatibles, plantéate migrar directamente a una web estática.

¿De verdad una web estática no cuesta nada?

Los planes gratuitos de Cloudflare Pages, Vercel, Netlify y GitHub Pages bastan para una web corporativa; solo pagas el dominio.

¿Quieres dejar WordPress en tu web corporativa? Contacta conmigo

Escríbeme si:

tu web corporativa usa WordPress y la noche del 21 de octubre no sabías si cerrarla ni a quién pedir el parche;
tu servidor sigue con PHP 8.1 o anterior;
pagas cada año hosting, servidor y mantenimiento;
no localizas a quien hizo la web y nadie se ocupa de ella;
te diriges al mercado japonés o internacional y necesitas una web multilingüe en japonés, inglés u otros idiomas.

Puedo migrar tu web corporativa de WordPress a una web estática con Astro: más rápida y más segura, sin renovar hosting ni servidor cada año, con publicación automática tras cada commit y sin depender de nadie para el mantenimiento.

Contacta conmigo por WeChat (757118), indicado en la página Acerca de, o por X (@zhaoJianNet). Envíame la dirección de tu web y lo que necesitas, y te propondré un plan de migración concreto.