El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó actualizaciones de seguridad para corregir dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell.
Ambas vulnerabilidades recibieron una calificación de 9,2 sobre 10 en CVSS v4.0, debido a su potencial para permitir la ejecución remota de código (RCE) sin autenticación.
Posteriormente, el 23 de octubre, el proyecto PHP informó sobre una tercera vulnerabilidad, CVE-2026-115560, relacionada con el procesamiento de sesiones y la carga de archivos.
En V2Networks, implementamos medidas de mitigación desde el momento en que se dieron a conocer las vulnerabilidades iniciales y, posteriormente, aplicamos los parches de seguridad distribuidos por nuestros proveedores oficiales.
Actualmente, nuestros servicios de Hosting administrado cuentan con las medidas de protección correspondientes y no requieren intervención de los clientes.
¿Qué son las vulnerabilidades PHP2Shell?
PHP es uno de los lenguajes de programación más utilizados en aplicaciones web y plataformas como WordPress, WooCommerce, Moodle y otros sistemas de gestión de contenidos.
Las vulnerabilidades PHP2Shell afectan al propio intérprete de PHP, específicamente a determinadas operaciones relacionadas con la administración de memoria.
En determinadas circunstancias, un atacante podría aprovechar estos errores para ejecutar código malicioso en el servidor, acceder a información o comprometer la disponibilidad de las aplicaciones alojadas.
Las vulnerabilidades identificadas son:
Identificador | Descripción |
CVE-2026-109618 | Error en la gestión de memoria que puede producirse durante determinadas condiciones de agotamiento de recursos. |
CVE-2026-109619 | Vulnerabilidad relacionada con el manejo de memoria liberada durante el procesamiento de solicitudes. |
CVE-2026-115560 | Vulnerabilidad asociada al procesamiento de sesiones PHP bajo configuraciones específicas y poco habituales. |
Es importante destacar que estas vulnerabilidades afectan al entorno de ejecución de PHP. Por lo tanto, actualizar únicamente WordPress, sus plugins o sus temas no reemplaza las actualizaciones de seguridad del intérprete PHP.
¿Qué medidas implementó V2Networks?
Nuestro equipo técnico inició la implementación de medidas de protección el 21 de octubre de 2026, priorizando la seguridad y continuidad operativa de los servicios.
1. Mitigación preventiva de las vulnerabilidades
Desde la divulgación de las vulnerabilidades, implementamos medidas de mitigación destinadas a reducir la exposición de los servicios alojados en nuestra infraestructura.
Estas acciones contemplaron la aplicación de protecciones a nivel de servidor y la utilización de los mecanismos de seguridad disponibles en nuestra plataforma.
2. Actualización de PHP y aplicación de parches
Una vez que los proveedores oficiales comenzaron a distribuir las actualizaciones de seguridad, realizamos su instalación progresiva en nuestros servidores de Hosting.
Nuestra infraestructura utiliza distintas implementaciones de PHP, entre ellas:
EasyApache 4 (EA-PHP): paquetes de PHP integrados con cPanel.
CloudLinux Alt-PHP: versiones de PHP mantenidas por CloudLinux, incluyendo versiones con soporte extendido mediante HardenedPHP.
Los parches se aplicaron mediante los repositorios oficiales correspondientes, permitiendo mantener la compatibilidad con las aplicaciones alojadas.
La implementación de los parches de seguridad se completó el 22 de octubre de 2026 en los servidores de Hosting cPanel administrados por V2Networks.
3. Protección mediante sistemas de seguridad
Nuestra plataforma de Hosting dispone de distintas capas de protección, incluyendo:
Imunify360: solución de seguridad diseñada para detectar y bloquear amenazas dirigidas a aplicaciones y servidores web.
Monarx: sistema de protección contra malware que utiliza análisis de comportamiento y monitoreo en tiempo de ejecución para identificar y bloquear código malicioso, incluyendo amenazas que podrían comprometer aplicaciones PHP.
Web Application Firewall (WAF): mecanismos de filtrado para identificar y bloquear solicitudes potencialmente maliciosas.
Actualizaciones de seguridad: instalación de correcciones distribuidas por los proveedores oficiales.
Monitoreo de infraestructura: supervisión de los servicios y de su disponibilidad.
Estas medidas complementan los parches de PHP y contribuyen a reducir la superficie de ataque.
4. Protección frente a CVE-2026-115560
El 23 de octubre de 2026, PHP anunció una nueva vulnerabilidad que podría permitir ejecución remota de código en aplicaciones con configuraciones específicas de sesiones.
La mitigación recomendada consiste en desactivar la función de seguimiento del progreso de carga de archivos mediante la siguiente directiva:
session.upload_progress.enabled = 0
Esta medida ya formaba parte de las recomendaciones de seguridad publicadas el 21 de octubre para CVE-2026-109619.
Los servicios de Hosting administrado de V2Networks ya cuentan con la mitigación correspondiente, por lo que no es necesario realizar cambios adicionales.
La corrección definitiva de CVE-2026-115560 será incorporada por el proyecto PHP en una próxima actualización regular, que aplicaremos conforme a nuestro proceso habitual de mantenimiento.
¿Qué deben hacer nuestros clientes?
Las acciones necesarias dependen del tipo de servicio contratado.
Clientes de Hosting y Reseller Hosting
Si utiliza un servicio de Hosting compartido o Reseller Hosting administrado por V2Networks:
No necesita realizar ninguna acción adicional.
Las actualizaciones y mitigaciones de seguridad correspondientes al entorno PHP son administradas directamente por nuestro equipo técnico.
Esto incluye las versiones de PHP distribuidas mediante EasyApache 4 y CloudLinux Alt-PHP, de acuerdo con los parches publicados por sus respectivos proveedores.
Aunque no es obligatorio cambiar de versión únicamente para corregir estas vulnerabilidades cuando el proveedor ya ha incorporado el parche, recomendamos utilizar versiones modernas de PHP compatibles con sus aplicaciones.
Clientes de servidores VPS y Cloud Server
Los clientes que utilizan servidores VPS o Cloud Server con administración propia son responsables de mantener actualizados los sistemas operativos, aplicaciones y entornos PHP instalados.
Si su servidor utiliza PHP, recomendamos verificar que se encuentren aplicados los parches de seguridad correspondientes.
Para las versiones oficiales de PHP, las actualizaciones publicadas el 21 de octubre son:
Versión PHP | Versión corregida para PHP2Shell |
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
Si PHP fue instalado mediante los repositorios de una distribución Linux o un proveedor de soporte extendido, el número de versión podría ser diferente, ya que algunos proveedores incorporan los parches directamente en sus paquetes.
En esos casos, es necesario consultar los avisos de seguridad y registros de cambios del proveedor.
Cómo mitigar CVE-2026-115560 en un servidor VPS
Mientras se publica la actualización definitiva, PHP recomienda desactivar temporalmente el seguimiento de progreso de carga de archivos.
Paso 1. Identificar la configuración de PHP
Acceda al servidor mediante SSH y ejecute:
php --ini
Este comando permite identificar los archivos de configuración utilizados por PHP en la línea de comandos.
Tenga presente que PHP-FPM o Apache pueden utilizar archivos de configuración diferentes.
Paso 2. Modificar la configuración
Edite el archivo php.ini correspondiente al servicio web y establezca:
session.upload_progress.enabled = 0
Si utiliza PHP-FPM, también puede establecer esta directiva en la configuración del pool correspondiente:
php_admin_value[session.upload_progress.enabled] = 0
Paso 3. Reiniciar PHP
Reinicie el servicio PHP-FPM correspondiente a su instalación para aplicar los cambios.
Por ejemplo, en sistemas donde el servicio se denomina php8.4-fpm:
sudo systemctl restart php8.4-fpm
El nombre del servicio puede variar según la distribución Linux y el método de instalación.
Paso 4. Verificar la configuración
Compruebe que la directiva se encuentre desactivada en el entorno PHP utilizado por su sitio web.
Si esta mitigación ya fue implementada el 21 de octubre, no es necesario repetirla.
Importante: esta configuración mitiga CVE-2026-115560, pero no sustituye la instalación de los parches correspondientes a CVE-2026-109618 y CVE-2026-109619.
¿Por qué mi versión de PHP sigue mostrando un número anterior?
Es posible que algunos clientes observen versiones como PHP 8.1.34, 8.3.35 o 8.5.11, aun cuando sus instalaciones ya cuenten con los parches de seguridad.
Esto ocurre porque proveedores como CloudLinux y cPanel pueden incorporar correcciones de seguridad mediante el procedimiento conocido como backporting.
Este mecanismo permite integrar correcciones de seguridad en versiones existentes sin necesidad de modificar el número principal de versión publicado por el proyecto PHP.
Por ejemplo, una versión mantenida por CloudLinux puede incluir correcciones de seguridad adicionales que no están presentes en la versión original de PHP con el mismo número.
Por lo tanto, el número de versión de PHP, por sí solo, no siempre permite determinar si una instalación está protegida.
Para confirmar el estado de seguridad, es necesario considerar el proveedor, la versión completa del paquete y los parches incorporados.
¿Es recomendable actualizar PHP a una versión más reciente?
Sí. Aunque las versiones mantenidas mediante soporte extendido pueden recibir correcciones de seguridad, recomendamos utilizar versiones de PHP que cuenten con soporte oficial siempre que sus aplicaciones sean compatibles.
Mantener PHP actualizado permite acceder a mejoras de rendimiento, nuevas funcionalidades y correcciones de seguridad.
Antes de realizar una actualización, recomendamos verificar la compatibilidad de WordPress, Moodle, plugins, temas y otras aplicaciones instaladas.
Preguntas frecuentes
¿Mi sitio web está protegido contra PHP2Shell?
Si utiliza un servicio de Hosting administrado por V2Networks, las mitigaciones y actualizaciones correspondientes ya fueron implementadas en nuestra infraestructura.
¿Debo actualizar manualmente PHP desde cPanel?
No es necesario actualizar manualmente PHP únicamente para aplicar estos parches si utiliza nuestro Hosting administrado.
Sin embargo, recomendamos mantener sus aplicaciones en versiones de PHP con soporte y compatibles con sus requisitos técnicos.
¿Debo actualizar WordPress o Moodle?
Es recomendable mantener estas plataformas y sus extensiones actualizadas como parte de las buenas prácticas de seguridad.
Sin embargo, actualizar WordPress o Moodle no sustituye las correcciones aplicadas al intérprete PHP.
¿Las vulnerabilidades afectan también a los VPS?
Sí. Los servidores VPS que ejecutan instalaciones vulnerables de PHP pueden encontrarse expuestos.
En estos servicios, la administración y actualización de PHP corresponde al cliente, salvo que exista un servicio de administración contratado que contemple estas tareas.
¿Desactivar session.upload_progress afecta mi sitio web?
La desactivación no impide subir archivos al servidor, pero puede afectar aplicaciones que utilicen específicamente esta función de PHP para mostrar el progreso de las cargas.
La mayoría de las aplicaciones que no utilizan esta funcionalidad no deberían presentar cambios por esta configuración.
¿Las nuevas actualizaciones requieren interrupciones del servicio?
Algunas actualizaciones pueden requerir el reinicio de servicios PHP o del servidor para aplicar las correcciones.
En V2Networks procuramos realizar estas operaciones de manera controlada, minimizando su impacto sobre la disponibilidad.
Nuestro compromiso con la seguridad
En V2Networks mantenemos un enfoque de seguridad proactiva, combinando medidas preventivas, actualizaciones de software, mecanismos de protección y monitoreo de infraestructura.
La respuesta frente a PHP2Shell forma parte de nuestro compromiso con la protección de los servicios de nuestros clientes y la continuidad de sus operaciones.
Continuaremos monitoreando los avisos oficiales de PHP, cPanel y CloudLinux para implementar las actualizaciones de seguridad correspondientes.
Para conocer el estado de nuestros servicios y las últimas actualizaciones de seguridad, visite:
Si necesita asistencia, puede contactar a nuestro equipo de soporte a través de los canales habituales de atención.