26.10.22 - [Urgente] Fallos críticos de PHP «php2shell»: ¿está segura tu web?

El 21 de octubre de 2026 se publicaron dos vulnerabilidades críticas de PHP: CVE-2026-109618 y CVE-2026-109619, conocidas como «php2shell».

Qué está pasando

• Un atacante sin contraseña puede ejecutar cualquier código en el servidor (gravedad: crítica, CVSS 9,2).
• Afecta a casi todas las versiones de PHP de la 5 a la 8, en cualquier entorno que sirva peticiones web: PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed, etc.
• Los detalles se filtraron el día antes de la publicación oficial y ya hay bots buscando servidores vulnerables en todo el mundo.
• Las webs con WordPress y cualquier web o sistema de empresa hecho en PHP deben revisarse con prioridad.

Qué hacer ya

• Actualizar PHP a una versión corregida: 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
• Las versiones de PHP sin soporte no recibirán arreglo: hay que migrar a una versión con soporte.
• Si usas un hosting compartido, consulta qué está haciendo tu proveedor.

Sobre la web de MetAI

La web de MetAI (met-ai.tech) no usa PHP, así que no está afectada. Es una web estática sin servidor propio y nuestro filtro de ataques bloquea automáticamente las peticiones dirigidas a PHP y WordPress.

Cómo puede ayudarte MetAI

¿No sabes si tu web está afectada o por dónde empezar? En MetAI te ayudamos con:

• Diagnóstico urgente: comprobamos qué versiones de PHP o Node.js usan tus webs y apps, y si están afectadas.
• Corrección y actualización: actualizamos con seguridad PHP, Node.js, WordPress, plugins y librerías, y migramos los entornos sin soporte.
• Protección de cara al futuro: filtros de ataques, migración a webs estáticas sin servidor y vigilancia de accesos sospechosos, para que vulnerabilidades parecidas en el futuro tengan mucho menos impacto.

Podemos ofrecerte el mismo sistema que usamos en nuestra propia web. Escríbenos para una consulta gratuita de 30 minutos.

Fuentes: Help Net Security · Tenable