# Cerrar de inmediato la vulnerabilidad de seguridad de PHP > ¿Vulnerabilidad de PHP aún abierta? Parcheamos en remoto, reiniciamos todos los procesos y entregamos la prueba. Llame o escriba por WhatsApp. Fuente: https://phpsos.de/es/soforthilfe/php-luecke-sofort-schliessen/ Actualizado: 25/10/2026 Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6 **En resumen:** quien quiere tener hoy mismo cerrada la vulnerabilidad de PHP2Shell necesita cuatro cosas: la actualización correcta, el reinicio de todos los procesos de PHP, la revisión en busca de código malicioso ya introducido y una prueba. ¿Le afecta? Llame. Le ayudamos. Nos encargamos de ello en remoto, desde el primer mensaje. > **Actuar de inmediato:** > **No borre nada ahora y no reinstale nada.** También al parchear rige lo mismo: primero asegurar, después modificar. Si algo ya ha entrado, necesitamos el estado de los archivos y de los registros. [Comunique la emergencia](https://phpsos.de/es/notfall/) y aclararemos con usted el orden. ## Por qué la vulnerabilidad no puede esperar Las dos vulnerabilidades CVE-2026-109618 y CVE-2026-109619 están en el propio PHP y permiten ejecutar código malicioso en remoto sin autenticación. El BSI (Oficina Federal alemana de Seguridad de la Información) ha declarado el nivel de alerta 3 (naranja) y recomienda la actualización inmediata. Si no es posible de inmediato, los servidores web deben desconectarse temporalmente de la red. Según informes de los medios, ya antes de la publicación de los parches el 21/10/2026 hubo intentos de ataque observados. Cloudflare ha observado intentos y ha desplegado reglas de protección, pero advierte de que las reglas basadas solo en los datos de la solicitud no son suficientes. Importante para los operadores: una actualización del CMS no cierra la vulnerabilidad de PHP. Según informes, WordPress.org tampoco prevé una actualización al respecto, porque la vulnerabilidad está en el intérprete. Solo se cierra en el nivel de PHP, es decir, en lo que su servidor ejecuta realmente. ## Qué hacer ahora mismo 1. **Conocer la versión de destino.** Están corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.2 llega al final del soporte el 31/12/2026; téngalo en cuenta en su planificación. 2. **Registrar todos los sistemas.** También servidores de prueba, imágenes de contenedor y sistemas antiguos accesibles desde internet. 3. **Aclarar responsabilidades.** En los paquetes de hosting y los servidores gestionados es el proveedor quien aplica la actualización. Pregunte por escrito por la versión y el reinicio. 4. **Conservar los registros.** Desde el 20/10/2026, según la prensa especializada. 5. **Acordar la ventana.** Un reinicio interrumpe brevemente las solicitudes en curso. Fije un momento en el que haya alguien que pueda tomar decisiones. 6. **No esperar si está abierto.** Si no se puede parchear de inmediato, estudie con nosotros el aislamiento o las medidas provisionales. ## ¿Cómo ayuda PHP SOS en concreto? 1. **Evaluar la situación:** registramos sistemas, versiones de PHP, modos de ejecución, proveedores de hosting y accesibilidad, y fijamos el orden: primero los sistemas más expuestos. 2. **Asegurar y cerrar:** aseguramos el estado actual, aplicamos la actualización o llevamos el hosting al estado con parche demostrado y reiniciamos todos los procesos. En el caso de los contenedores, reconstruimos la imagen y la desplegamos. 3. **Revisar y limpiar:** como un parche no elimina el código malicioso, buscamos señales de una intrusión anterior y limpiamos si es necesario. 4. **Reforzar e informar:** recibe una prueba por escrito de cada sistema y recomendaciones para que la próxima actualización sea más rápida. El alcance del servicio lo describe el [servicio de parcheo de PHP](https://phpsos.de/es/leistungen/php-patch-service/). ## Actualización, reinicio, prueba: lo que importa El error más frecuente es actualizar sin reiniciar. Mientras sigan en memoria los procesos antiguos, el código vulnerable permanece activo aunque los archivos sean nuevos. Las instrucciones están en la página [Reiniciar PHP-FPM y todos los workers](https://phpsos.de/es/php2shell/php-fpm-neustart/). El segundo error es fiarse de lo que se muestra: las distribuciones y los proveedores de hosting suelen entregar backports y entonces el número de versión no cambia. Lo fiable es el changelog del paquete con los números CVE; en la familia Debian, con `apt-get changelog `. Además, según el manual de PHP, desde las versiones de seguridad existe la nueva directiva `memory_hard_limit_percent`. Si una versión de PHP no la conoce, está afectada. La prueba es breve: ```bash php -r 'var_dump(ini_get("memory_hard_limit_percent"));' ``` Debe ejecutarse por cada versión y modo de ejecución, porque la línea de comandos puede usar una versión de PHP distinta de la del servidor web. Para terminar, dejamos constancia del resultado, para que pueda mostrárselo a su proveedor de hosting, a su aseguradora o a su cliente. ## Si la actualización no es posible de inmediato Hay motivos por los que una actualización no es posible hoy: una aplicación antigua que no funciona con versiones más nuevas de PHP, un proveedor de hosting sin autorización, una imagen de contenedor dentro de una pipeline fija. Para estos casos php.net indica medidas provisionales que expresamente no son una protección completa: fijar `memory_limit=-1` de modo que las aplicaciones no puedan sobrescribirlo, limitar `post_max_size`, `session.upload_progress.enabled=0` y, en PHP 8.5, `fatal_error_backtraces=0`, en cada caso con reinicio. A ello se suman reglas de protección en el perímetro, que no sustituyen a la actualización. Un consejo que circula, bloquear todas las solicitudes con `PHPSESSID`, es rechazado expresamente por autores especializados. Qué medidas encajan con su sistema y qué pueden romper, lo hablamos antes. Más información en la página [Medidas inmediatas si todavía no puede parchear](https://phpsos.de/es/php2shell/sofortmassnahmen-ohne-patch/) y en el tema [WAF y parcheo virtual](https://phpsos.de/es/leistungen/waf-virtuelles-patching/). Para PHP 8.1 y anteriores la situación es distinta y se describe en [PHP 8.1 y anteriores: qué se aplica ahora](https://phpsos.de/es/php2shell/php-8-1-und-aelter/). ## Qué debería enviarnos - Lista de servidores y proveedores de hosting, si la tiene - Salida de `php -v` de cada sistema e indicación del modo de ejecución - Indicación de si se usan contenedores, Plesk, cPanel o una oferta gestionada - Ventana horaria deseada y persona de contacto para los reinicios - Indicios de anomalías desde el 17/10/2026 ## Por qué PHP SOS Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un único interlocutor que acompaña la actualización, comprueba el reinicio y entrega la prueba. Trabajamos en remoto, sin desplazamientos, y documentamos cada paso. No prometemos milagros: un parche cierra la vulnerabilidad, pero no demuestra que antes no haya pasado nada, y así se lo decimos. ## ¿Le afecta? Llame. Le ayudamos. No deje la vulnerabilidad abierta por más tiempo. Llame o escriba por WhatsApp. Nos hacemos cargo desde el primer mensaje y seguimos hasta que el incidente esté cerrado y documentado. [Comunicar la emergencia ahora](https://phpsos.de/es/notfall/). ## Preguntas frecuentes **¿Puedo cerrar yo mismo la vulnerabilidad de seguridad de PHP o necesito ayuda?** Una actualización es factible para un administrador, pero propensa a errores: tiene que aplicarse a la versión que realmente sirve el sitio y todos los procesos deben reiniciarse. Quien tiene varios servidores, imágenes de contenedor o un proveedor de hosting con particularidades ahorra tiempo y errores con apoyo. **¿Hay que reiniciar PHP después de la actualización?** Sí. Los archivos nuevos por sí solos no bastan mientras sigan ejecutándose en memoria los procesos antiguos de PHP. Hay que reiniciar todos los workers o procesos y, con mod_php, el servidor web. **¿Qué hacer si todavía no hay actualización para mi versión de PHP?** Para PHP 8.1 y anteriores el proyecto PHP ya no publica actualizaciones oficiales. Entonces hacen falta un backport del proveedor con parche demostrado, una migración a una versión mantenida o medidas provisionales, que sin embargo no ofrecen una protección completa. **¿Basta con poner session.upload_progress.enabled a 0?** No. Según informes especializados, este ajuste por sí solo no cierra las dos vulnerabilidades; la actualización de PHP sigue siendo obligatoria. Aplíquelo solo en php.ini, en el pool de FPM o en la configuración del servidor, no mediante ini_set() ni .user.ini. **¿Cómo sé que la vulnerabilidad ha quedado realmente cerrada?** Con una prueba en el sistema en funcionamiento: la versión o el changelog del paquete, una comprobación de la nueva directiva memory_hard_limit_percent y la confirmación de que todos los procesos se reiniciaron tras la actualización. ## Fuentes - [php.net: avisos de seguridad](https://www.php.net/) - [Registro de cambios de PHP 8](https://www.php.net/ChangeLog-8.php) - [Manual de PHP: configuración del núcleo (ini.core)](https://www.php.net/manual/en/ini.core.php) - [BSI: Oficina Federal alemana de Seguridad de la Información](https://www.bsi.bund.de/)