Centro de Ayuda
Inicio Hosting PHP

Vulnerabilidad de seguridad «PHP2Shell» en PHP: información importante sobre tus contratos con IONOS

Válido para: todas las aplicaciones y servicios que utilizan PHP

En octubre de 2026 se solucionaron en el popular lenguaje de programación PHP dos vulnerabilidades de seguridad críticas (CVE-2026-109618 y CVE-2026-109619) en su núcleo (Core Runtime).

La combinación de ambas vulnerabilidades, también conocida como PHP2Shell, permite ejecutar código malicioso y tomar el control de un servidor web sin necesidad de autenticación ni de interacción previa. 

Este artículo te informa sobre el contexto técnico, tus opciones para comprobar un posible riesgo de seguridad y qué medidas debes tomar.

Resumen de los puntos clave

  • IONOS ya aplicó la actualización oficial de PHP en su infraestructura técnica.
  • Para la gran mayoría de clientes y personas usuarias no es necesaria ninguna acción.
  • Si gestionas PHP por tu cuenta, debes actuar de inmediato, por ejemplo, en un VPS o Servidor Dedicado.

¡Cuidado con los intentos de phishing!

Por experiencia, acontecimientos que reciben una repercusión mediática tan amplia como PHP2Shell suelen ser aprovechados por personas con fines fraudulentos. Envían mensajes falsos para obtener datos de acceso o intentan que facilites información confidencial por otros medios.

  • Comprueba la autenticidad de los supuestos e-mails de IONOS a través del servicio de validación.
  • No ejecutes en tu servidor scripts que no procedan de fuentes de confianza.

Cambiar la versión de PHP desde tu cuenta IONOS

Si puedes cambiar tu versión de PHP a través de tu cuenta IONOS, no corres ningún peligro a causa de PHP2Shell, ya que IONOS administra estas versiones y las mantiene actualizadas. IONOS también implementó las actualizaciones de seguridad de PHP necesarias para aquellas versiones que ya no cuentan con soporte oficial por parte de la comunidad de PHP. De esta forma, puedes seguir utilizando de manera segura tu versión actual de PHP.

Consulta desde tu cuenta de cliente la administración de PHP en Hosting > Sección: PHP. Haz clic en el dominio deseado y selecciona una de las versiones disponibles. La versión recomendada en este momento aparece identificada.

Si gestionas tu propia versión de PHP

IONOS ya actualizó su propia infraestructura de PHP e implementó medidas de seguridad adicionales. Quedan expresamente excluidas aquellas instalaciones de PHP gestionadas bajo responsabilidad propia. En tal caso, debes actuar de inmediato.

Importante: tener un alcance o una visibilidad reducidos no protege a quien administra un servidor. Quienes perpetran ciberataques automatizan el rastreo de servidores web vulnerables a PHP2Shell. Por ello, incluso las páginas web con menor notoriedad se encuentran en el punto de mira de los ataques.

Además de la ejecución de código malicioso, la vulnerabilidad PHP2Shell también permitía la lectura no autorizada de la memoria RAM. Al obtener acceso a los procesos de tu servidor, quien realiza el ataque puede acceder potencialmente a información confidencial adicional, como contraseñas de bases de datos, tokens de sesión, variables de entorno o accesos a la API. Se trata, por tanto, de un problema de gran alcance que pone en riesgo todos los datos de tu espacio web.

Comprueba si tu página web sufrió ataques PHP2Shell

El personal especialista en seguridad técnica (como el Equipo de Respuesta a Emergencias Informáticas para las Instituciones, Órganos y Agencias de la UE, conocido como CERT-EU) recomienda seguir los siguientes pasos para verificar tu espacio web o servidor:

  • Revisión de los registros de errores (error logs): busca caídas inusuales en los procesos de trabajo, especialmente el error SIGSEGV (Segmentation Fault).
  • Errores por falta de memoria: comprueba si se produce de forma reiterada el mensaje Allowed memory size exhausted (errores OOM) en los registros de errores provocados por la vulnerabilidad en la gestión de memoria (CVE-2026-109618).
  • Peticiones sospechosas (access logs): busca solicitudes de subida multipart/form-data sospechosas, sobre todo si no se corresponden con las funciones habituales de tu web (como la carga legítima de archivos).
  • Archivos nuevos o modificados: comprueba a través de FTP o del gestor de archivos si se han creado archivos .php desconocidos (puertas traseras) o cuentas con permisos de administración no justificadas en tu CMS.

Medidas tras un ataque PHP2Shell

Si te encargas de la administración de un servidor o localizas indicios concretos de vulneración (por ejemplo, código malicioso o puertas traseras en tu espacio web), IONOS recomienda restablecer tus datos al estado previo a los ataques (principios de octubre de 2026).

Esto es lo que debes hacer ahora:

  • Restaura una copia de seguridad limpia de los datos de tu espacio web.
  • Una vez completada con éxito la recuperación, introduce tus contraseñas modificadas y demás datos de acceso, como las claves API.
  • Actualiza los paquetes de PHP que uses y reinicia a continuación todos los servicios de PHP.

¿No gestionas tu espacio web por tu cuenta?

Reenvía de inmediato el enlace a este artículo al equipo a cargo del desarrollo web, a tu departamento de TI o a la agencia web de soporte.

Mejorar la seguridad de tu instalación de PHP

Un paso fundamental para aumentar la seguridad de tu espacio web consiste en utilizar versiones de PHP actualizadas y con soporte oficial. Tal como evidencia la actual vulnerabilidad de seguridad PHP2Shell, las versiones actuales también pueden ser vulnerables; no obstante, por norma general puedes tener la certeza de que las versiones más recientes cuentan con un mayor nivel de protección.

Si dispones de nuestro servicio de Soporte Extendido para PHP, tu entorno cuenta con protección técnica ante estas incidencias; aun así, por el motivo expuesto anteriormente, conviene comprobar a la mayor brevedad el cambio a una versión de PHP plenamente actualizada.

Más información

Contenido