Dos vulnerabilidades críticas conocidas como PHP2Shell podrían permitir que atacantes ejecuten código en servidores o accedan a información sensible sin iniciar sesión. Los problemas afectan a PHP, un lenguaje utilizado por numerosas páginas y plataformas, entre ellas WordPress, Drupal y Joomla. Los investigadores advierten que el riesgo está en las instalaciones vulnerables que no han recibido las correcciones.
PHP2Shell no es un nuevo lenguaje de programación, sino el nombre dado a estas fallas de seguridad. Según los investigadores, los errores se encuentran en el propio funcionamiento de PHP, por lo que un sitio puede estar expuesto aunque su código esté bien desarrollado. Entre los datos que podrían quedar accesibles figuran contraseñas, claves de servicios y credenciales de sesión almacenadas en la memoria del servidor.
Las vulnerabilidades fueron identificadas como CVE-2026-109618 y CVE-2026-109619 y recibieron una calificación de gravedad de 9,2 sobre 10. Ya existen actualizaciones de seguridad para corregirlas; Ubuntu, por ejemplo, anunció parches para sus versiones compatibles. La existencia de una instalación vulnerable no demuestra, por sí sola, que haya sufrido un ataque.
Para los propietarios de páginas, el paso principal es confirmar con su administrador o proveedor de alojamiento que PHP haya sido actualizado y que los servicios correspondientes se hayan reiniciado. Actualizar únicamente WordPress, sus temas o sus complementos no sustituye la corrección del lenguaje que funciona en el servidor. Las medidas temporales de protección tampoco reemplazan el parche.
