Una falla crítica de seguridad detectada en el lenguaje de programación PHP pone en riesgo a millones de servidores web en el mundo. La vulnerabilidad permite la ejecución remota de código sin autenticación en plataformas basadas en este entorno, como WordPress, Joomla!, Drupal, Moodle y Typo3.
Riesgo crítico de control remoto y filtración prematura de datos
Las vulnerabilidades, identificadas como PHP2Shel y registradas bajo los códigos CVE-2026-109618 y CVE-2026-109619, facultan a ciberdelincuentes para tomar el control total de los sistemas web, acceder a bases de datos y utilizar la infraestructura para otros ataques. La filtración prematura de información sobre el fallo aceleró el riesgo de escaneos masivos y secuestros de servidores mediante scripts automatizados.
La Oficina Federal para la Seguridad de la Información (BSI) emitió la alerta oficial BITS-H n.º 2026-297981-1032, catalogando la amenaza con el nivel 3 / Naranja. La entidad recomendó la desconexión temporal de Internet para aquellos servidores que no puedan aplicar actualizaciones de forma inmediata.
| Parámetro | Detalle técnico |
| Identificadores de vulnerabilidad | CVE-2026-109618 y CVE-2026-109619 (PHP2Shel) |
| Nivel de riesgo oficial (BSI) | 3 / Naranja (Riesgo extraordinariamente alto) |
| Plataformas impactadas | Sitios en PHP (incluyendo WordPress, con 400 a 500 millones de páginas activas a nivel global) |
| Parche de corrección | Versión 8.5.12 de PHP |
PHP 8.5.12 released – 90 fixes in 29 components, including security fixes (CVE-2026-109618, CVE-2026-109619). Changelog + downloads: https://t.co/q5agMkUfNe
— php-net (@php_net) October 21, 2026
Desconexión de portales públicos e interrupción de servicios
La amenaza afecta el ecosistema donde operan entre 400 y 500 millones de sitios web activos basados en WordPress. Ante la imposibilidad de aplicar parches de forma instantánea, diversas administraciones públicas y entidades iniciaron suspensiones preventivas de sus plataformas digitales.
En Alemania, la ciudad de Maguncia (Mainz) desactivó su portal web oficial (mainz.de), derivando la atención ciudadana a canales telefónicos y de correo electrónico. La medida se ha extendido de forma temporal a universidades y centros hospitalarios. De igual forma, municipios en Francia procedieron a desconectar sus portales, mientras que autoridades en Japón evaluaron la desconexión de infraestructura técnica crítica.
Medidas requeridas para administradores de sistemas
Los desarrolladores de PHP fijaron la publicación del parche de seguridad para el miércoles a las 16:00 h, integrado en la actualización a la versión 8.5.12. La recomendación para administradores de sitios web, proveedores de alojamiento y empresas es aplicar de inmediato las actualizaciones de software e aislar cualquier servidor que opere con versiones de PHP fuera de soporte.
La falla no compromete de forma directa los dispositivos finales de los usuarios navegantes, aunque estos pueden experimentar interrupciones en el acceso a portales e infraestructura de servicios en línea mientras se completan las labores de parcheo.
Desde Scale Up Consultora monitoreamos constantemente todas las vulnerabilidades de ciberseguridad a las que pueden estar expuestos nuestros clientes para proceder de inmediato con las medidas tanto preventivas como resolutivas de las brechas de seguridad. En este caso hemos procedido con la instalación de los parches de seguridad recomendados para subsanar cualquier vulnerabilidad que el sistema de PHP pudiese tener en los proyectos de nuestros clientes.