Vulnerabilidad Crítica - Si usas PHP tu negocio esta en peligro

Tal cual como dice el título. Es serio y no debe tomarse a la ligera.

Se ha descubierto una vulnerabilidad crítica que se rumorea que afecta a todas las versiones de PHP desde la 5.0 en adelante. The PHP Group no ha revelado los detalles de la vulnerabilidad ni las versiones afectadas por temas de seguridad, y prometen que mañana a las 2 PM (UTC) sacarán una actualización de seguridad donde se resolverá este problema, por lo que estar pendiente y actualizar a tiempo es primordial... Mañana es un día decisivo.

En este tweet se demuestra como usando un script de Python llamado php2shell.py el atacante desde su propia máquina puede hacer a PHP ejecutar un comando remoto en el servidor de la web atacada, escribiendo como prueba "pwned" en un archivo nuevo el cual se puede acceder públicamente desde el navegador:



El video deja en claro que esto debe tomarse con caracter serio, ya que demuestra que afecta a Laravel, Symphony, Wordpress, phpBB, Magento, Drupal, entre otros... En sus versiones actuales.

Si tu negocio o web usa PHP debes estar atento al anuncio de la actualización en las próximas horas. Tus datos corren riesgo.

Anuncio oficial de The PHP Group: https://www.php.net/archive/2026.php#2026-10-20-1

eriickz dijo:

Tal cual como dice el título. Es serio y no debe tomarse a la ligera.

Se ha descubierto una vulnerabilidad crítica que se rumora que afecta a todas las versiones de PHP desde la 5.0 en adelante. The PHP Group no ha revelado los detalles de la vulnerabilidad ni las versiones afectadas por temas de seguridad, y prometen que mañana a las 2 PM (UTC) sacarán una actualización de seguridad donde se resolverá este problema, por lo que estar pendiente y actualizar a tiempo es primordial... Mañana es un día decisivo.

En este tweet se demuestra como usando un script de Python llamado php2shell.py el atacante desde su propia máquina puede hacer a PHP ejecutar un comando remoto en el servidor de la web atacada, escribiendo como prueba "pwned" en un archivo nuevo el cual se puede acceder públicamente desde el navegador:



El video deja en claro que esto debe tomarse con caracter serio, ya que demuestra que afecta a Laravel, Symphony, Wordpress, phpBB, Magento, Drupal, entre otros... En sus versiones actuales.

Si tu negocio o web usa PHP debes estar atento al anuncio de la actualización en las próximas horas. Tus datos corren riesgo.

Anuncio oficial de The PHP Group: https://www.php.net/archive/2026.php#2026-10-20-1

Hacer clic para expandir...

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

gracias excelente aporte, vaya toca entonces prevenir

Leex dijo:

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

Hacer clic para expandir...

El fallo no es wordpress es php

Sans dijo:

El fallo no es wordpress es php

Hacer clic para expandir...

¡Por eso mismo La gente dejó de usarlo pensando que era WordPress, pero como WordPress usa PHP...

Posdata: Insisto, en mi caso eran bots :v mis registros están ahí.

A todas estas @Daniel Muñoz tu no eras el de AnimeMovil?

Leex dijo:

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

Hacer clic para expandir...

Si, nadie mas quiso usar wordpress, solo el 70% de internet xD

Leex dijo:

A todas estas @Daniel Muñoz tu no eras el de AnimeMovil?

Hacer clic para expandir...

Ni idea que hablas yo hace mucho que evito usar PHP y ni se diga de WordPress, pero me he sentido más cómodo con otros lenguajes

El aviso es importante y desde luego toca estar pendiente de la actualización, pero creo que conviene separar lo que está confirmado de lo que todavía está circulando como información preliminar.

Lo que sí está confirmado es que el equipo de PHP ha anunciado una actualización extraordinaria para hoy, 21 de octubre, por dos vulnerabilidades críticas, ambas con una puntuación CVSS v4.0 de 9,2. La publicación está prevista para las 14:00 UTC.

Lo que todavía no ha publicado oficialmente PHP son todos los detalles técnicos, las versiones concretas afectadas y las condiciones necesarias para explotarlas. Por eso tendría cuidado de momento con afirmar que afecta a todas las versiones desde PHP 5 o que cualquier instalación actual de WordPress, Laravel, Magento, Drupal, etc. es directamente vulnerable.

Por lo que están publicando investigadores de seguridad, sí se trataría de vulnerabilidades de ejecución remota de código (RCE) y parece que al menos una de ellas ha podido reproducirse, así que no es algo para ignorar. Pero una cosa es que el fallo esté en PHP y otra que podamos afirmar ya que cualquier web desarrollada con PHP es explotable independientemente de su versión y configuración.

Huntress, por ejemplo, indica que el supuesto rango desde PHP 5 todavía no está confirmado oficialmente y que, cuando publicaron su análisis, tampoco habían detectado explotación activa de estas vulnerabilidades en sus entornos.

Así que yo resumiría la situación en: estar atentos y actualizar en cuanto corresponda, sí, pero esperaría al advisory y a las versiones corregidas antes de dar por hecho que cualquier servidor PHP o cualquier WordPress está comprometido.

Cuando salga la actualización estaría bien añadir al tema las versiones afectadas y las versiones corregidas. Así los que usamos o administramos servidores con PHP podremos comprobar exactamente qué tenemos que actualizar.


Fuentes:

PHP (anuncio oficial):
https://www.php.net/archive/2026.php#2026-10-20-1

Huntress (seguimiento técnico de PHP2Shell):
https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

BleepingComputer:
https://www.bleepingcomputer.com/ne...ical-flaws-emergency-patches-coming-tomorrow/

He estado buscando algo más de información y dejo algunas fuentes porque el asunto parece serio, aunque creo que sigue siendo importante separar lo confirmado de lo que procede de la filtración.

PHP ha confirmado oficialmente que hoy publicará una actualización extraordinaria para solucionar dos vulnerabilidades críticas, ambas con una puntuación CVSS v4.0 de 9,2. En el propio anuncio indican que con la publicación darán los detalles completos, versiones afectadas y versiones corregidas.

Investigadores de watchTowr también han indicado que han podido reproducir al menos una de las vulnerabilidades, CVE-2026-109618, pero de momento no están publicando los detalles técnicos hasta que exista el parche.

Lo que yo no daría todavía como confirmado es que absolutamente todas las versiones desde PHP 5 sean vulnerables. Esa información aparece a raíz de la filtración previa, pero PHP todavía no ha publicado oficialmente el rango completo de versiones afectadas.

Tampoco diría de momento que WordPress, Laravel, Drupal, Magento, etc. tengan una vulnerabilidad propia. El problema está en PHP y habrá que ver las condiciones concretas necesarias para explotarlo y qué versiones están afectadas.

Otro punto importante es que actualmente PHP solo mantiene oficialmente las ramas 8.2, 8.3, 8.4 y 8.5. Si finalmente el fallo afecta también a ramas antiguas que ya están fuera de soporte, quienes sigan utilizándolas deberían plantearse actualizar a una rama soportada, independientemente de este problema.

Así que sí, toca estar atentos y actualizar en cuanto publiquen los parches, pero esperaría al advisory oficial antes de afirmar que cualquier servidor con PHP o cualquier WordPress es explotable.


Fuentes:

PHP – anuncio oficial:
https://www.php.net/archive/2026.php#2026-10-20-1

PHP – versiones actualmente soportadas:
https://www.php.net/supported-versions.php

The Hacker News:
https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html

watchTowr – FAQ técnico:
https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

PHP ChangeLog:
https://www.php.net/ChangeLog-8.php

Si ya no están usando wordspress, han vuelto a blogger? Jaja o que usan al menos los menos experimentados 🫪

Actualización: PHP ya ha publicado las versiones corregidas y los detalles de las dos vulnerabilidades críticas.

Las vulnerabilidades son CVE-2026-109618 y CVE-2026-109619, ambas relacionadas con problemas de memoria que pueden terminar en ejecución remota de código.

Las versiones corregidas son:

PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12

PHP recomienda actualizar inmediatamente. También han publicado parches mínimos para 7.4, 8.0 y 8.1, aunque esas ramas ya están fuera del soporte normal.

Así que lo que comentaba antes ya se puede actualizar con información oficial: el problema es serio y ya hay parches disponibles.
Quien administre servidores PHP debería revisar qué versión está utilizando y actualizar cuanto antes.

Fuente oficial: PHP News / Security releases.

Sans dijo:

El fallo no es wordpress es php

Hacer clic para expandir...

Ja, ja, ja. Si A está construído sobre B y B tiene fallos estructurales no puedes decir: "A está bien, B es el problema".

Con esa lógica me voy convenciendo lo que escuché en un seminario el otro día: "con tantos 'programadores' que no conocen los fundamentos y solo pasan a producción lo que la IA hace, inviertan tiempo y esfuerzo en aprender hacking porque el 90% de esos sistemas tienen fallos explotables".

En la agencia donde hago prácticas ya dejamos PHP hace tiempo, hemos apostado por TanStack/NextJS para el front y FastAPI/Java Spring para el back.

WPE dijo:

Ja, ja, ja. Si A está construído sobre B y B tiene fallos estructurales no puedes decir: "A está bien, B es el problema".

Con esa lógica me voy convenciendo lo que escuché en un seminario el otro día: "con tantos 'programadores' que no conocen los fundamentos y solo pasan a producción lo que la IA hace, inviertan tiempo y esfuerzo en aprender hacking porque el 90% de esos sistemas tienen fallos explotables".

En la agencia donde hago prácticas ya dejamos PHP hace tiempo, hemos apostado por TanStack/NextJS para el front y FastAPI/Java Spring para el back.

Hacer clic para expandir...

Lo que dices está implícito en tu propia analogía: "A está bien, B es el problema" Si aplicas lógica de programador, sabrás que el orden de las dependencias y las capas importa muchísimo a la hora de determinar qué se puede vulnerar, cómo y con qué alcance.

Tampoco hace falta ir a un seminario para intuirlo basta con entender los fundamentos y no confundir una tecnología con la forma en que se utiliza.

Sans dijo:

Lo que dices está implícito en tu propia analogía: "A está bien, B es el problema" Si aplicas lógica de programador, sabrás que el orden de las dependencias y las capas importa muchísimo a la hora de determinar qué se puede vulnerar, cómo y con qué alcance.

Tampoco hace falta ir a un seminario para intuirlo basta con entender los fundamentos y no confundir una tecnología con la forma en que se utiliza.

Hacer clic para expandir...

Pelea de sabiondos!!!!!

ya dieron un parche, a actualizar! 🙂