PHP2Shell: dos fallas críticas en PHP con parche de emergencia hoy y llaves de UpdraftCentral usadas para meter puertas traseras en WordPress: revisa hoy la web de tu empresa

El 20 de octubre, el equipo de PHP avisó de algo poco común: dos fallas críticas de ejecución remota de código, CVE-2026-109618 y CVE-2026-109619, con calificación CVSS de 9.2. Los parches de emergencia salen hoy, 21 de octubre, a las 14:00 UTC (8:00 de la mañana en el centro de México). Lo reportó BleepingComputer y ya tiene nombre: PHP2Shell.

Ejecución remota de código quiere decir que alguien, desde internet, puede hacer que tu servidor corra lo que quiera. Y el mismo día salió otra: están usando llaves robadas de UpdraftCentral para meter puertas traseras en sitios WordPress. Si tu empresa tiene página web, tienda en línea o un sistema hecho en PHP, esto te toca.

Dónde corre PHP en tu empresa sin que lo sepas

PHP es el lenguaje con el que está hecha buena parte de la web. Lo obvio es WordPress. En nuestra experiencia, la sorpresa viene de todo lo demás:

Dónde	Ejemplo típico	Quién lo actualiza
Hosting compartido o cPanel	La página de la empresa, el blog en WordPress	El proveedor de hosting
Tienda en línea	WooCommerce, PrestaShop, Magento	Tú o tu agencia
Sistemas internos	CRM, intranet, facturación, cotizador	Quien lo programó
Equipos con panel web	NAS, algunos grabadores de cámaras y conmutadores	El fabricante, con firmware

Ese cotizador que hizo un freelance hace cinco años, y que el de ventas usa a diario, muy probablemente corre en PHP. Entre administradores de sistemas, la pregunta de hoy es justo esa: cómo encontrar el PHP que no sabes que tienes.

Qué te protege antes del parche y qué no

The Hacker News publicó un repaso de qué sí protege antes del parche de las 14:00 UTC. Nuestra lectura, en corto:

• Un WAF (firewall de aplicaciones web, como el de Cloudflare o el de tu hosting) ayuda si ya trae reglas para estas fallas. Ayuda, no blinda.
• Desactivar funciones peligrosas de PHP reduce el daño posible, pero puede romper tu sitio si lo haces a ciegas.
• Estar en una versión vieja no te salva. Si tu PHP ya no tiene soporte, puede que ni llegue parche para él.
• Esconder la versión en los encabezados del sitio no protege nada.

Cómo pedirle hoy al hosting la versión parchada

Si tu sitio vive en hosting compartido, el parche depende de tu proveedor. No esperes su correo. Escríbeles hoy con estas tres preguntas:

1. ¿Qué versión de PHP corre mi cuenta y cuándo instalan la que corrige CVE-2026-109618 y CVE-2026-109619?
2. ¿Mi versión todavía recibe parches? Si no, ¿a cuál paso sin romper el sitio?
3. ¿Tienen un WAF con reglas para PHP2Shell mientras tanto?

En cPanel ves tu versión en el MultiPHP Manager. Si el sistema está en un servidor propio o un VPS, el parche lo instalas tú o tu proveedor TI. Hoy mismo, no el viernes.

UpdraftCentral: revisa llaves y plugins de WordPress

UpdraftPlus es un plugin de respaldos muy usado en WordPress, y UpdraftCentral es su panel para manejar varios sitios desde un solo lugar. Según BleepingComputer, atacantes usan llaves robadas de ese panel para instalar puertas traseras: accesos ocultos para volver cuando quieran.

Qué revisar hoy, aunque nunca hayas oído de UpdraftCentral:

• En UpdraftPlus, pestaña UpdraftCentral: borra las llaves que no reconozcas. Si tu agencia sí lo usa, que genere llaves nuevas.
• Usuarios administradores: ¿hay alguno que nadie dio de alta?
• Plugins: ¿alguno instalado hace poco que nadie pidió?
• Actualiza todos los plugins y quita los que ya no uses.

Hablemos

¿Y en tu empresa?

Si nadie sabe cuántos sistemas en PHP tiene tu empresa, empieza por ahí. Con una lista de dónde vive cada uno, quién lo actualiza y qué versión corre, ya vas por delante de la mayoría.

En ProcessBi hacemos ese inventario de sitios y sistemas PHP, aplicamos el parche y buscamos puertas traseras, dentro de la póliza de soporte TI y de nuestro servicio de desarrollo web. Te decimos qué encontramos y qué falta, sin rodeos.

Cuéntanos qué corre tu empresa — respondemos el mismo día hábil.