PHP2Shell: qué pasó, qué hacer y cómo protegimos los sitios en SeedCloud

El 21 de octubre de 2026, el equipo de PHP publicó versiones de emergencia para corregir dos fallas críticas. Con ellas, un atacante puede tomar el control de un servidor web sin usuario ni contraseña. Drupal funciona sobre PHP, así que cualquier sitio Drupal que no haya actualizado PHP sigue expuesto.¹

Aquí resumimos qué pasó, qué debe revisar si administra un sitio Drupal y qué hicimos en SeedCloud, el hosting administrado de Seed EM.

Qué es PHP2Shell y a quién afecta

PHP2Shell es el nombre con el que se conocen dos vulnerabilidades del intérprete de PHP, registradas en el sistema CVE (Common Vulnerabilities and Exposures) como CVE-2026-109618 y CVE-2026-109619. El equipo de seguridad de PHP les dio 9,2 sobre 10 en la escala CVSS v4.0 (Common Vulnerability Scoring System), la que se usa para medir la gravedad de una falla. Permiten ejecutar código en el servidor de forma remota, sin credenciales.

Como el problema está en PHP, afecta a cualquier aplicación que corra sobre una versión vulnerable: Drupal, WordPress, Magento o Laravel. Tampoco importa cómo se ejecute PHP en el servidor (PHP-FPM (FastCGI Process Manager), Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed).²

Estas son las versiones corregidas, publicadas el 21 de octubre:³

Hubo ataques antes de que existiera el parche. Amazon registró el primer intento el 17 de octubre, cuatro días antes de la publicación.⁴ El 26 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) agregó las dos fallas a su catálogo de vulnerabilidades que se están explotando (KEV, Known Exploited Vulnerabilities).⁵

Por qué actualizar Drupal no basta

Las actualizaciones del núcleo de Drupal y de sus módulos no corrigen PHP2Shell. Drupal se ejecuta sobre PHP, y la falla está en esa capa. En su aviso PSA-2026-10-20 (Public Service Announcement), el Equipo de Seguridad de Drupal recordó que el servidor y los componentes que no son Drupal están a cargo del dueño del sitio o de su proveedor de hosting.⁶

Los sitios en versiones de PHP sin soporte, como PHP 8.1 o PHP 7.4, tienen un problema adicional. Para ellas no salió una versión nueva lista para instalar. El proyecto PHP publicó parches de código fuente, que el equipo técnico debe aplicar, compilar y probar. Sirven para salir de la emergencia, pero el sitio sigue en una versión sin soporte.⁷

Además, si el servidor estuvo expuesto antes de actualizarse, hay que revisar si alguien alcanzó a entrar.

Qué hacer ahora

1. Verifique la versión de PHP de cada sitio. Si su hosting la administra, pida que le confirme por escrito que ya aplicó el parche.
2. Actualice a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según su rama. Si está en 8.2, planee pasar a 8.4 o 8.5 antes de diciembre.
3. Si está en PHP 8.1 o anterior, aplique el parche publicado para su rama (o pida a su hosting que lo haga) y planee la migración, porque esas ramas ya no reciben versiones nuevas.
4. Revise señales de intrusión desde el 17 de octubre: registros del servidor, archivos nuevos o desconocidos y cuentas de administrador de Drupal que nadie del equipo haya creado.
5. Mantenga Drupal al día. El 21 de octubre también salieron las versiones de mantenimiento 11.4.11, 11.3.20 y 10.6.20 del núcleo.⁸

Cómo actuamos en SeedCloud

Los clientes de SeedCloud no tuvieron que hacer nada. El equipo técnico de Seed EM se encargó de lo siguiente:

• El 21 de octubre, el mismo día de la publicación, actualizamos toda la infraestructura a versiones corregidas, como PHP 8.3.36 y PHP 8.5.12. Los sitios que estaban en PHP 8.1 los pasamos ese mismo día a PHP 8.2.35.
• Los sitios en PHP 7.4 necesitaban el parche de código fuente. Mientras lo preparábamos y probábamos, los protegimos con reglas en el firewall de aplicaciones (AWS WAF, Amazon Web Services Web Application Firewall), limitamos el tamaño máximo de los envíos y desactivamos una función de PHP que esos sitios no usan. El 23 de octubre quedaron con PHP 7.4 corregido.
• Enviamos a nuestros clientes principales un informe con el estado de su sitio y la versión de PHP en la que quedó.
• Ningún despliegue requirió ventana de mantenimiento y ningún sitio tuvo caídas. Verificamos los sitios después de cada actualización, sin incidentes, y no detectamos intentos de explotación.

En un hosting administrado, este trabajo le corresponde al proveedor, no al equipo del cliente. Conozca cómo funciona SeedCloud.

Qué significa para las organizaciones en Colombia

Si su organización tiene un sitio en Drupal, sea una universidad, una entidad pública o una empresa, PHP2Shell es un buen motivo para revisar tres puntos.

Primero, en qué versión de PHP corre el sitio y quién la actualiza. Muchas organizaciones están pendientes de las versiones de Drupal, pero no de las de PHP. Esa responsabilidad debería quedar por escrito en el contrato de hosting.

Segundo, los sitios heredados. Drupal 7 no tiene soporte oficial desde enero de 2025, y muchos de esos sitios siguen en PHP 7.4. En esta emergencia, protegerlos exigió parches manuales y medidas temporales. Si tiene un sitio así, conviene planear la migración a una versión actual de Drupal.

Tercero, la próxima fecha límite. PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026. Los sitios en esa rama tienen dos meses para cambiar.

¿No sabe en qué versión de PHP corre su sitio?

Si administra un sitio Drupal y no sabe en qué versión de PHP corre o si quedó protegido frente a PHP2Shell, podemos revisarlo con usted.

Escríbanos. También puede conocer nuestro servicio de soporte y mantenimiento Drupal o SeedCloud, nuestro hosting administrado para Drupal.

Fuentes

1. Help Net Security, Resumen de la semana. ↩
2. Patchstack, Alerta de seguridad de PHP. ↩
3. The Drop Times, Seguridad de PHP 8.2 a 8.5 y Drupal. ↩
4. BleepingComputer, Amazon detectó ataques cuatro días antes del parche. ↩
5. The Drop Times, CISA agrega PHP2Shell a su catálogo KEV. ↩
6. Drupal Security Team, PSA-2026-10-20. ↩
7. watchTowr, Preguntas frecuentes sobre PHP2Shell (parches para 7.4, 8.0 y 8.1). ↩
8. The Drop Times, Versiones de mantenimiento de Drupal del 21 de octubre. ↩

Publicado por Angie Vera, Seed EM · Noviembre 2026.