php2shell: vulnerabilidades críticas en PHP y cómo proteger tu pyme

¿Qué ha pasado con php2shell?

Recientemente se han divulgado dos vulnerabilidades en el lenguaje PHP, conocidas como php2shell y catalogadas como CVE-2026-109618 y CVE-2026-109619. Estas fallas afectan a todas las versiones de PHP desde la 5.4 en adelante y permiten a un atacante causar denegación de servicio, ejecución remota de código y exposición de datos si la aplicación procesa tráfico HTTP malicioso. Cloudflare, en coordinación con otros actores, ha desplegado protecciones en su firewall de aplicaciones web (WAF) para mitigar los intentos de explotación.

La particularidad de estas vulnerabilidades es que residen en el propio runtime de PHP, no en el código de la aplicación ni en los plugins. Por tanto, actualizar el CMS o los módulos no soluciona el problema; es imprescindible actualizar la versión de PHP que ejecuta el servidor.

Por qué es un riesgo real para las pymes

PHP es el motor de casi el 70% de los sitios web, incluyendo plataformas tan populares como WordPress y Magento. Para una pyme, esto significa que su presencia digital probablemente dependa de PHP, ya sea en su web corporativa, en una tienda online o en un sistema interno. Un atacante podría aprovechar estas vulnerabilidades para tumbar el servicio, robar información de clientes o incluso tomar el control del servidor.

Además, el hecho de que las protecciones de Cloudflare se hayan desplegado horas antes de la divulgación pública indica que ya se estaban observando intentos de explotación. Los atacantes suelen automatizar la búsqueda de servidores vulnerables, por lo que cualquier pyme con PHP sin parchear está en el punto de mira.

¿Cómo protege Cloudflare y qué implica?

Cloudflare ha lanzado reglas WAF específicas para detectar y bloquear los intentos de explotación de php2shell. Estas reglas no solo analizan la solicitud HTTP, sino también la respuesta del servidor, una nueva capacidad llamada detección de transacción completa. Esto reduce los falsos positivos y permite identificar si un ataque ha tenido éxito. Las protecciones están disponibles por defecto para todos los planes de Cloudflare, incluido el gratuito.

Sin embargo, desde Altya insistimos en que el WAF es una capa adicional, no un sustituto del parche. La recomendación principal es actualizar PHP a una versión segura según el aviso oficial. Si tu proveedor de hosting gestiona PHP, solicítale que aplique la actualización. Mientras tanto, mantén el WAF activo y considera restringir las subidas de archivos y limitar su tamaño para reducir la superficie de ataque.

Lectura práctica para tu pyme

Si tienes una web o aplicación en PHP, no lo dejes para mañana. Revisa con tu equipo técnico o proveedor de hosting qué versión de PHP está en uso y aplica el parche cuanto antes. Si no cuentas con un equipo interno, en Altya podemos ayudarte a evaluar tu situación y coordinar la actualización con tu proveedor. La seguridad no es un gasto, es una inversión en la continuidad de tu negocio.

Además, este incidente subraya la importancia de mantener una capa de protección perimetral como un WAF. Herramientas como Cloudflare ofrecen una barrera valiosa, pero deben complementarse con buenas prácticas de actualización y monitorización. En Altya trabajamos con pymes para diseñar estrategias de seguridad adaptadas a su realidad, sin complicaciones innecesarias.

Fuente: blog.cloudflare.com