PHP2Shell: corrige dos fallos críticos en tu VPS

Hola a todos,

¿Tu VPS aloja un sitio web o una aplicación web que utiliza PHP? Actualiza PHP cuanto antes. Tanto Linux como Windows pueden verse afectados.

Dos fallos críticos de PHP, conocidos como PHP2Shell, se hicieron públicos el 21 de octubre de 2026. Identificados como CVE-2026-109618 y CVE-2026-109619, pueden permitir a un atacante ejecutar código en un servidor vulnerable sin tener una cuenta de usuario en el sitio web.

Estos fallos están en el propio PHP. No están causados por BoxToPlay ni por un fallo específico de nuestros servidores.

¿Quién debe actualizar PHP?

Si administras PHP en tu VPS, comprueba la versión que utilizan tus sitios web, aunque funcionen con normalidad. PHP puede haberse instalado directamente, a través de un panel de administración o dentro de un contenedor.

En el alojamiento web gratuito que gestionamos en BoxToPlay, los paquetes PHP ya se han actualizado. No tienes que realizar esta actualización de PHP por tu cuenta.

¿Cómo actualizar PHP?

Antes de hacer cambios, comprueba que tienes una copia de seguridad reciente de tus datos.

En Debian o Ubuntu, si PHP está instalado desde los repositorios del sistema, ejecuta estos comandos por SSH con la cuenta root:

apt update && apt upgrade

Este comando actualiza todos los paquetes para los que hay una actualización disponible. Revisa los cambios propuestos antes de confirmar y comprueba después que tu repositorio ofrece una corrección de seguridad para PHP.

En Windows, si instalaste PHP manualmente, utiliza las descargas oficiales de PHP para Windows adecuadas para tu configuración.

Si un panel de administración u otro programa gestiona tu instalación PHP, sigue su procedimiento de actualización, tanto en Linux como en Windows.

Si PHP se ejecuta dentro de un contenedor Docker, utiliza una imagen que incluya la corrección y vuelve a crear el contenedor conservando sus datos. Actualizar el sistema operativo del VPS no actualiza PHP dentro del contenedor.

Reinicia los servicios que ejecutan PHP, como PHP-FPM o tu servidor web, para que carguen la versión corregida. Prevé una breve interrupción y comprueba después que tus sitios web y aplicaciones respondan correctamente.

¿Cómo comprobar que PHP está corregido?

El proyecto PHP publicó las correcciones en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Utiliza una de estas versiones o una posterior de la misma rama.

Las distribuciones Linux también pueden aplicar las correcciones a una versión anterior sin cambiar su número principal. En Ubuntu 24.04, por ejemplo, el paquete 8.3.6-0ubuntu0.24.04.13 incluye ambas correcciones. Compara la revisión completa del paquete con el aviso de seguridad de tu distribución.

Ten en cuenta que php -v muestra la versión utilizada en la línea de comandos, que puede ser distinta de la que utilizan tus sitios web. Comprueba también qué versión está activa en tu panel o en la configuración del servidor web.

Si todavía utilizas PHP 8.1 o una versión anterior, comprueba si el proveedor de tus paquetes ofrece una corrección. Si no hay ninguna disponible, cambia a una versión con soporte que sea compatible con tus aplicaciones.

Encontrarás los detalles en el aviso oficial de PHP, la explicación de PHP2Shell de Ubuntu y el aviso de seguridad de Ubuntu.

¿Tienes dudas sobre la versión que utilizas o algún problema después de actualizar? Contacta con el soporte de BoxToPlay desde tu área de cliente.

El equipo de BoxToPlay