Añádelo como fuente preferida en Google
El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas de PHP, conocidas en conjunto como PHP2Shell. Estas vulnerabilidades podrían permitir a los atacantes ejecutar código malicioso en los servidores afectados sin necesidad de autenticarse. El equipo de desarrollo de PHP publicó actualizaciones de seguridad de emergencia ese mismo día para solucionarlas.
Si tu sitio de WordPress está alojado en Kinsta, está protegido contra PHP2Shell. Nuestros equipos de ingeniería y seguridad han realizado el despliegue de las actualizaciones de seguridad necesarias para PHP en toda nuestra plataforma de alojamiento, incluyendo los entornos de producción y de staging. No hemos encontrado indicios de incidencias relacionadas con estas vulnerabilidades.
Esto es lo que debes saber sobre PHP2Shell, cómo hemos gestionado las vulnerabilidades y cómo comprobar la configuración de PHP de tu sitio web.
¿Qué es PHP2Shell?
PHP2Shell hace referencia a dos vulnerabilidades de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de gravedad crítica de 9,2 según el CVSS 4.0.
Las vulnerabilidades afectan a la forma en que PHP gestiona la memoria al procesar las solicitudes. Si se aprovechan, un atacante podría ejecutar código malicioso en un servidor, lo que podría poner en peligro los sitios web y los datos alojados en él.
Como WordPress funciona con PHP, estas vulnerabilidades también suponían un riesgo para los sitios web de WordPress que usaban las versiones afectadas de PHP.
A diferencia de las vulnerabilidades que se encuentran en un plugin, un tema o el núcleo de WordPress, PHP2Shell afecta al propio entorno de ejecución de PHP. Esto significa que actualizar WordPress o sus plugins no resolvería el problema. Había que aplicar un parche al software PHP del servidor.
El equipo de PHP publicó correcciones para las versiones 8.2, 8.3, 8.4 y 8.5 de PHP el 21 de octubre. Las versiones anteriores de PHP recibieron correcciones de seguridad de parte de mantenedores externos.
En el caso de los clientes de Kinsta, nos hemos encargado de estas actualizaciones a nivel de alojamiento, en lugar de tener que realizar cambios en cada instalación individual de WordPress.
Cómo respondió Kinsta a PHP2Shell
Nuestros equipos de ingeniería y seguridad empezaron a prepararse para el PHP2Shell antes de que estuvieran disponibles los parches de seguridad oficiales. La respuesta consistió en añadir medidas de protección para reducir el riesgo de que se aprovechara la vulnerabilidad y, a continuación, realizar el despliegue de las versiones parcheadas de PHP a medida que se iban publicando.
Cómo bloquear intentos de explotación con Cloudflare
Una de nuestras principales prioridades fue proteger los sitios web mientras preparábamos las correcciones de PHP. Kinsta utiliza el Cortafuegos de Aplicaciones Web (WAF) de Cloudflare para ayudar a identificar y bloquear las solicitudes maliciosas antes de que lleguen a los sitios web alojados en nuestra plataforma.
Antes de que se hiciera pública la vulnerabilidad PHP2Shell, Cloudflare realizó el despliegue de nuevas medidas de protección en el cortafuegos diseñadas para detectar intentos de aprovechar estas vulnerabilidades. Nuestro equipo activó las medidas de protección pertinentes en toda nuestra infraestructura de alojamiento.
Como resultado, nuestros cortafuegos a nivel de edge ya estaban bloqueando los intentos de explotación de PHP2Shell mientras esperábamos los parches de PHP y durante su despliegue.
También aplicamos cambios adicionales en la configuración de PHP en todos nuestros entornos de alojamiento de WordPress para reducir la posible exposición. Durante todo el incidente, estuvimos en estrecho contacto con nuestro socio de Protección contra Vulnerabilidades, Patchstack, compartiendo información sobre las amenazas y los patrones de ataque que observamos.
Estas medidas ayudaron a proteger los sitios web mientras preparábamos las actualizaciones, pero no sustituían a la aplicación de los parches en el propio PHP.
Aplicación de las actualizaciones de seguridad de PHP
En cuanto el equipo de PHP publicó las correcciones, nuestro equipo de ingeniería empezó a validar y realizar el despliegue de los paquetes de PHP parcheados en toda la plataforma.
Hemos realizado el despliegue de actualizaciones de seguridad para PHP 7.4 hasta PHP 8.5, incluyendo parches para versiones anteriores proporcionados por Freexian, nuestro proveedor de paquetes de PHP.
Como gestionamos PHP a nivel de plataforma, los clientes no tuvieron que instalar las correcciones ni cambiar manualmente sus versiones de PHP. Nuestro equipo se encargó de las actualizaciones en toda la infraestructura de alojamiento sin dejar de mantener activas las protecciones adicionales de Cloudflare.
El 22 de octubre de 2026, a las 08:26 UTC, marcamos el incidente como resuelto en nuestra página de estado pública, confirmando que todos los sitios estaban protegidos y que las actualizaciones de seguridad se habían implementado en toda la plataforma.
Durante todo el incidente, nuestro equipo monitorizó cualquier actividad sospechosa, revisando manualmente los sitios que parecían estar en el punto de mira y realizando comprobaciones aleatorias en los entornos de alojamiento para detectar indicios de que hubieran sido comprometidos. No encontramos ninguna prueba de que se hubieran producido intrusiones relacionadas con PHP2Shell.
Puedes leer las actualizaciones publicadas a lo largo de la respuesta en nuestra página de estado del incidente de seguridad de PHP.
¿Tienen que hacer algo los clientes de Kinsta?
No. Si tu sitio web de WordPress está alojado en Kinsta, ya hemos aplicado las actualizaciones de seguridad necesarias.
No necesitas cambiar tu versión de PHP, instalar ningún parche adicional ni desconectar tu sitio web a causa de PHP2Shell. Las medidas de protección también se aplican a tus entornos de staging.
Si suspendiste algún entorno como medida de precaución mientras solucionábamos las vulnerabilidades, ya puedes reactivarlos. Nuestro equipo también ha aplicado las actualizaciones de seguridad pertinentes en los entornos suspendidos.
Aún así, deberías mantener actualizadas tu instalación de WordPress, tus plugins y tus temas como parte del mantenimiento habitual de tu sitio web. Sin embargo, esas actualizaciones son independientes de las correcciones de PHP2Shell, que ya hemos aplicado a nivel de alojamiento.
Dónde encontrar actualizaciones y obtener ayuda
Si gestionas sitios web de WordPress para clientes, puedes compartir con ellos nuestro informe oficial sobre el incidente de seguridad de PHP. En él se documentan las actualizaciones que hemos realizado a medida que han ido saliendo las versiones parcheadas de PHP y se confirma la resolución del incidente.
Si tienes alguna duda sobre un sitio web concreto o quieres confirmar su estado de seguridad, puedes ponerte en contacto con nuestro equipo de soporte directamente a través de MyKinsta. Nuestro equipo está disponible 24/7 para ayudarte.
Para más información, consulta nuestra guía sobre cómo contactar con el soporte de Kinsta.
