NoticiasNews

PHP2Shell: dos fallas críticas en PHP obligan a parchear y algunos sitios salieron de línea, con el servicio al cliente a oscurasPHP2Shell: two critical PHP flaws force emergency patching and some sites go offline, leaving customer service in the dark

2026-10-22

El 21 de octubre de 2026 el equipo de PHP publicó actualizaciones de emergencia para dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Según BleepingComputer, ambas permiten ejecución remota de código sin autenticación y nacen de que PHP deja la memoria corrupta cuando una petición termina de forma anormal.

Qué se sabe

  • Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; para 7.4, 8.0 y 8.1 hay solo parches mínimos de código fuente, porque 8.1 y anteriores ya no reciben soporte oficial.
  • Afecta a las instalaciones que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera mod_php el caso de mayor riesgo.
  • Cloudflare dijo haber visto ataques tempranos antes de los parches, y VirusTotal estima más de 5,1 millones de hosts PHP expuestos.
  • Las mitigaciones (por ejemplo, ajustar memory_limit y post_max_size) reducen la exposición, pero solo el parche es la solución definitiva.

Cuando la solución es apagar el sitio

CX Today informó que organismos como los ministerios y centros de ciberseguridad de Bélgica y varios departamentos neerlandeses bajaron sus sitios, y que Laravel pausó despliegues en sus regiones de Laravel Cloud mientras aplicaba versiones corregidas. El NCSC del Reino Unido pidió actualizar de inmediato o desconectar los sistemas afectados. Como PHP sostiene inicios de sesión, formularios, reservas y compras, para el cliente la consecuencia fue concreta: no poder entrar, agendar ni escribir a soporte.

Qué hacer ahora

Inventaríe dónde corre PHP (portales de clientes, formularios de contacto, páginas de citas, WordPress y otros CMS), priorice lo expuesto a internet, aplique el parche y, mientras tanto, prepare una vía alternativa para atender a los clientes.

Esta noticia muestra por qué la continuidad de la atención no puede depender de un solo canal web. Con una mesa de ayuda como Servigo365, que centraliza tickets y conversaciones multicanal con historial y SLA, el equipo puede seguir recibiendo y priorizando solicitudes por correo o mensajería aunque el portal esté en mantenimiento. Y con Nexturno, la gestión de turnos y citas en sucursal permite sostener la atención presencial ordenada mientras los canales digitales se restablecen.

Fuentes: BleepingComputer (21 de octubre de 2026) y CX Today (22 de octubre de 2026).

On October 21, 2026 the PHP team released emergency updates for two critical vulnerabilities, CVE-2026-109618 and CVE-2026-109619, known as PHP2Shell. According to BleepingComputer, both allow unauthenticated remote code execution and stem from PHP leaving memory corrupted when a request ends abnormally.

What is known

  • Fixed versions are PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35; for 7.4, 8.0 and 8.1 only minimal source backports exist, since 8.1 and earlier no longer get official support.
  • It affects installations that serve web requests: PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. The PHP team considers mod_php the highest-risk case.
  • Cloudflare said it saw early attacks before the patches, and VirusTotal estimates over 5.1 million exposed PHP hosts.
  • Mitigations (such as tuning memory_limit and post_max_size) reduce exposure, but only patching is the permanent fix.

When the fix is to switch the site off

CX Today reported that bodies such as Belgian ministries and cybersecurity centers and several Dutch departments took sites down, and that Laravel paused deployments across Laravel Cloud regions while applying fixed versions. The UK NCSC urged organizations to update immediately or take affected systems offline. Because PHP powers logins, forms, bookings and purchases, the effect on customers was concrete: they could not sign in, book or reach support.

What to do now

Inventory where PHP runs (customer portals, contact forms, appointment pages, WordPress and other CMS), prioritize anything internet-facing, apply the patch and, meanwhile, prepare an alternative way to serve customers.

This story shows why customer service cannot depend on a single web channel. With a help desk such as Servigo365, which centralizes tickets and multichannel conversations with history and SLAs, the team can keep receiving and prioritizing requests by email or messaging even while the portal is in maintenance. And with Nexturno, queue and appointment management at branches keeps in-person service orderly while digital channels are restored.

Sources: BleepingComputer (October 21, 2026) and CX Today (October 22, 2026).

← Volver al blog← Back to blog