PHP2Shell: tu sitio en Hosting Plus ya está protegido

Hoy se reveló PHP2Shell, la falla de seguridad más grave que ha tenido PHP en más de una década. Afecta a la tecnología con la que funcionan hasta el 70% de los sitios web del mundo, y en todo el mundo los equipos técnicos están corriendo para parchar.

Si tu sitio está alojado en Hosting Plus, ya está protegido. Aplicamos el parche de CloudLinux en todas las versiones de PHP de nuestros servidores de hosting, incluidas las antiguas, y el WAF de Imunify360 está bloqueando los intentos de ataque. No tienes que hacer nada hoy.

Acá te contamos qué pasó, qué significa para tu negocio y qué hicimos para que no tengas que preocuparte.

Qué pasó

PHP es el lenguaje con el que funcionan hasta el 70% de los sitios web del mundo: WordPress, WooCommerce, Joomla, Drupal, Moodle, PrestaShop, Laravel y la mayoría de los sitios a medida. Este miércoles 21 de octubre el proyecto PHP publicó un parche de emergencia para dos fallas críticas, bautizadas PHP2Shell: CVE-2026-109618 y CVE-2026-109619, ambas con puntaje 9,2 de 10.

Las fallas están en la forma en que PHP maneja la memoria del servidor. Un atacante puede usarlas para ejecutar código en cualquier servidor web sin parchar, sin necesitar usuario ni contraseña. En sistemas pequeños el ataque toma segundos; en sistemas más complejos, horas.

Las descubrió la empresa de seguridad Calif durante una auditoría del código de PHP, con ayuda de un modelo de inteligencia artificial de OpenAI. El equipo de Wiz (Google) encontró fallas relacionadas por su cuenta. Volker Dusch, ingeniero de seguridad del proyecto PHP, la comparó con Heartbleed: es el problema más serio que ha enfrentado PHP en más de diez años.

El parche estaba programado para el 22 de octubre, pero la noticia se filtró el martes y PHP decidió adelantarlo. La corrección tocó cerca de 200 archivos y más de 10.000 líneas de código. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; las ramas 8.1 y anteriores ya no reciben parches oficiales y dependen de cada proveedor.

Qué significa para tu sitio

Un sitio comprometido con PHP2Shell puede ser usado para robar datos de tus clientes, instalar malware, enviar spam o atacar a las personas que lo visitan. Como ya existe un exploit público, la carrera entre defensores y atacantes empezó hoy.

Por eso todo el mundo se está moviendo: administradores actualizando PHP, proveedores de seguridad publicando reglas de firewall y algunos sitios de gobierno y de empresas desconectados de forma preventiva. Ya hay reportes de intentos de ataque, aunque hasta ahora no hay intrusiones confirmadas.

La preocupación de los expertos es que la misma inteligencia artificial que encontró la falla permita a los atacantes crear nuevas variantes del exploit en horas, no en semanas. Es muy probable que muchos sitios que no se parchen a tiempo sean vulnerados en los próximos días.

Qué hicimos en Hosting Plus

Tu sitio no depende de que tú hagas algo hoy. Nuestros servidores de hosting funcionan sobre CloudLinux, y eso hizo la diferencia: CloudLinux liberó el mismo día el parche para todas las versiones de PHP que ofrecemos, incluidas las antiguas (7.4, 8.0 y 8.1), que en un servidor sin CloudLinux habrían quedado sin solución.

Esto es lo que hicimos durante el día:

• Parche de PHP en todos los servidores de hosting. Aplicamos la actualización de CloudLinux tanto en las versiones de PHP del sistema como en las del selector de PHP de cPanel, y verificamos servidor por servidor que el parche estuviera instalado.
• WAF de Imunify360. Como capa adicional, bloquea desde el primer día el patrón del ataque público en todos nuestros servidores y registra cada intento para seguir la evolución del ataque.

Durante el día, miles de sitios alojados en Hosting Plus quedaron protegidos sin que sus dueños tuvieran que mover un dedo.

Un detalle que conviene saber: CloudLinux integra el parche sin cambiar el número de versión de PHP. Si en cPanel ves PHP 8.3.35, por ejemplo, el parche ya está dentro. Algunas herramientas externas que solo miran ese número pueden marcar tu sitio como «vulnerable» por error.

Es la capa de seguridad que incluye tu plan: Imunify360, firewall gestionado con WAF, KernelCare para parches sin reinicio, monitoreo 24/7 y respaldos diarios en otro servidor.

Además, Hosting Plus trabaja con Claude Mythos de Anthropic dentro de su programa de verificación en ciberseguridad (Defense Access), que usamos para analizar archivos maliciosos y reconstruir incidentes. La inteligencia artificial encontró esta falla, y también está de nuestro lado para defenderte.

Qué puedes hacer tú

Si tienes hosting con nosotros, no necesitas hacer nada hoy. Si quieres estar aún más tranquilo:

1. Revisa en cPanel qué versión de PHP usa tu sitio («Seleccionar versión de PHP»). Si está en 7.4, 8.0 u 8.1, planifica pasar a 8.2 o superior: hoy quedaron parchadas gracias a CloudLinux, pero ya no reciben parches oficiales de PHP. Antes de cambiar, confirma que tu sitio y tus plugins sean compatibles, o pídenos ayuda.
2. Mantén WordPress, plugins y temas al día. PHP2Shell es una falla de PHP, pero la mayoría de los ataques entran por software desactualizado.
3. Si ves algo raro en tu sitio (archivos nuevos, redirecciones, lentitud repentina, correos que no enviaste), avísanos de inmediato.

Si tienes un VPS o un servidor dedicado que administras tú, actualiza PHP hoy mismo a 8.2.35, 8.3.36, 8.4.27 u 8.5.12 y reinicia PHP-FPM o Apache. Si tu servidor usa una versión antigua de PHP, revisa los paquetes de tu distribución o de CloudLinux. Si necesitas una mano, abre un ticket y el equipo de Operaciones te orienta.

¿Prefieres no tener que preocuparte de esto? Si tienes un VPS, un servidor dedicado o una web WordPress que necesita administración, contrata el servicio administrado de VPS o servidor dedicado de Hosting Plus: nosotros administramos el servidor por ti. Escríbenos a ventas@hostingplus.cl o revisa los planes de VPS y servidores dedicados en hostingplus.cl.

Seguimos atentos

Vamos a seguir monitoreando el ataque y actualizaremos este artículo si hay novedades. Si tienes dudas sobre tu cuenta, escríbenos por el chat en vivo en hostingplus.cl, abre un ticket en clientes.hostingplus.cl o llámanos a la mesa central +56 2 2582 1100. Para emergencias, 24/7: +56 9 9353 6578.

Pon tu negocio online con la tranquilidad de que hay un equipo en Chile cuidando tu sitio, también los días en que internet entero corre a parchar.

Fuentes

• The Wall Street Journal: AI just found a bug that puts up to 70% of the world’s websites at risk (21-10-2026)
• PHP: anuncio oficial de las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35
• CloudLinux: Imunify360 ruleset 8.83 bloquea el exploit público de CVE-2026-109618 y CVE-2026-109619
• The Hacker News: PHP publica parches de emergencia por PHP2Shell
• Help Net Security: versiones corregidas y mitigaciones
• AlmaLinux: paquetes de PHP corregidos y avisos GHSA