Dos vulnerabilidades críticas en PHP podrían permitir a los atacantes ejecutar su propio código en los servidores afectados. De acuerdo con la alerta de seguridad emitida por Patchstack, ya se han reportado ataques activos por parte de múltiples empresas de hosting.
La única solución confirmada es actualizar PHP. El equipo de seguridad de PHP ha programado una actualización de emergencia para el 21 de octubre de 2026 a las 14:00 UTC. Patchstack recomienda aplicar la actualización tan pronto como esté disponible o confirmar que el proveedor de hosting se encargará de ello. Para saber cuándo está disponible la actualización, se puede seguir los canales oficiales de PHP.
Patchstack mantiene un feed de incidentes en vivo donde publicará todas las actualizaciones importantes, incluidos posibles parches y soluciones alternativas. Sin embargo, hasta el momento la única solución confirmada será actualizar la versión de PHP en cuanto esté disponible.
Las vulnerabilidades se encuentran en PHP en sí, por lo que afectan a cualquier aplicación que se ejecute en una versión vulnerable de PHP, incluidos WordPress, Drupal, Joomla y Magento. Las fallas residen en el intérprete de PHP, no en una aplicación en particular, por lo que cualquier sitio que utilice una versión vulnerable de PHP está expuesto.
Los detalles de la vulnerabilidad se filtraron el 20 de octubre, antes de la divulgación coordinada, y el problema se conoce como “PHP2Shell”. Las versiones afectadas se anunciarán junto con la actualización de seguridad.
Patchstack señaló que es poco probable que pueda bloquear estos ataques, ya que el problema está en PHP y no en una aplicación específica como WordPress. La empresa explicó que mitiga vulnerabilidades en la capa de aplicación, mientras que PHP se sitúa en un nivel superior. El proveedor de hosting podría tener soluciones alternativas y Patchstack proporcionará opciones adicionales en su publicación en vivo, pero por ahora la mejor solución es actualizar PHP a la nueva versión una vez que esté disponible.
La empresa también compartirá actualizaciones importantes en LinkedIn y X.
Imagen: Foto de Muhammed Ensar en Pexels
