PHP 8.5, 8.4, 8.3 y 8.2
Versión corregida: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Entra en el exprés.
PHP · php2shell · actualizado: 21 oct 2026
Actualización urgente de PHP en 24 horas hábiles
Actualizo tu servidor o sitio a la versión de PHP que corrige las dos fallas críticas publicadas el 21 de octubre, con respaldo, prueba y la salida de php -v como evidencia.
$2,900 + IVA por servidor o sitio · se acredita al diagnóstico
Rama soportada (PHP 8.2 a 8.5). Si tu versión es 8.1 o anterior, abajo te explico qué sigue.
Qué pasó el 21 de octubre
- PHP publicó dos fallas críticas en su núcleo, conocidas como php2shell: CVE-2026-109618 y CVE-2026-109619, con calificación 9.2 (CVSS v4). Permiten ejecutar código sin autenticación.
- Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- El aviso dice que no hay mitigaciones completas: actualizar es la única opción segura.
Fuentes: el aviso de seguridad de PHP del 21 de octubre de 2026 en php.net, los avisos técnicos de CVE-2026-109618 y CVE-2026-109619 en GitHub, y la alerta de CISA, que al publicarse no había observado explotación.
Cómo saber si te afecta mira tu versión
Si tu sistema, tu tienda o tu sitio corre en PHP, depende de la versión. Quien administra tu servidor la ve con php -v. Si nadie en tu empresa sabe, mándame el nombre del sistema y dónde está alojado.
PHP 8.1 o anterior
Sin soporte: no hay versión corregida oficial, solo parches de código para compilar o los de tu distribución. Va al diagnóstico de rescate, con plan de migración.
Hosting compartido
Ahí quien actualiza PHP es el hosting. Lo revisamos contigo y te digo qué pedirle.
PHP 8.2 tampoco tiene mucho margen: se queda sin parches el 31 de diciembre de 2026. Aquí explico qué hacer con eso.
Cómo se actualiza según dónde corre
Docker
Baja la imagen base nueva (docker pull), reconstruye y despliega. Comprueba con php -v DENTRO del contenedor: un redeploy del mismo commit puede reutilizar la imagen ya construida y seguir en la versión vieja. A nosotros nos pasó el 21 de octubre.
Servidor Linux con paquetes
Instala la actualización de PHP de tu distribución o del repositorio que uses. Ojo: las distribuciones retroportan el arreglo sin cambiar el número, así que php -v puede mostrar una versión menor aunque ya esté corregida; confírmalo en el aviso de seguridad de tu distribución buscando los dos CVE.
Hosting compartido o cPanel
PHP lo actualiza el proveedor. Pide por escrito qué versión corre tu cuenta y cuándo aplica la corregida. Si el panel te deja elegir versión, elige la más alta de tu rama que tenga soporte.
WordPress
La versión de PHP está en Herramientas → Salud del sitio → Información → Servidor. WordPress no se actualiza a sí mismo en esto: lo hace tu hosting o quien administra el servidor.
Con comandos y nuestro propio caso: guía paso a paso para saber si tu PHP es vulnerable y actualizarlo.
Si no puedes actualizar hoy medidas temporales
El aviso de php.net advierte que «solo una actualización es una solución completa»: estas medidas reducen la exposición a rutas de ataque concretas, pero no hacen segura la instalación. Ocultar errores con display_errors o @ no ayuda.
- session.upload_progress.enabled = 0 y reiniciar todos los workers (en php.ini o en el pool de FPM; ini_set() y .user.ini no sirven). Bloquea las rutas confirmadas de CVE-2026-109619, no todas las variantes.
- memory_limit = -1 fijado con php_admin_value en el pool de FPM o en Apache, para que la aplicación no lo cambie (ruta de CVE-2026-109618 por falta de memoria).
- post_max_size = 8M si la aplicación no recibe archivos, o 32M si los recibe, con upload_max_filesize por debajo.
- Solo en PHP 8.5: fatal_error_backtraces = 0 y reiniciar los workers.
Si un sistema expuesto a internet no se puede parchear, la alerta de CISA recomienda sacarlo de línea hasta actualizarlo.
Qué incluye y qué no
Incluye
- Respaldo de código y base de datos antes de tocar nada.
- Actualización de PHP al parche de tu rama (8.2, 8.3, 8.4 u 8.5).
- Prueba de que el sistema arranca y de que lo que no puede fallar sigue funcionando.
- Evidencia: la salida de php -v en tu servidor, con la versión corregida.
- Un resumen escrito de lo que se hizo y de lo que queda pendiente.
No incluye
- Cambiar de rama (por ejemplo de 8.1 a 8.4): eso es migración y se cotiza en el diagnóstico.
- Corregir código que deje de funcionar con otra versión: se te avisa antes y se cotiza aparte.
- Auditar o limpiar un servidor que ya estuviera comprometido.
- Actualizar el hosting compartido por ti: ahí no tengo acceso a PHP, lo hace tu proveedor.
- Garantía de «100 % seguro». Nadie la puede dar; lo que queda es la versión corregida y la evidencia.
Precio y cómo se acredita
EXPRÉS
Actualización urgente de PHP
$2,900
por servidor o sitio · 24 horas hábiles · + IVA
Dentro de la rama con parche (8.2 a 8.5). Lo pagado se acredita al diagnóstico si lo contratas después.
PHP 8.1 O ANTERIOR
Diagnóstico de rescate
$9,900
precio fijo · 5 días hábiles · + IVA
Sin versión corregida oficial no hay exprés que prometer. El diagnóstico entrega el plan de migración a una versión con soporte, con precio cerrado por etapa. Ver el rescate completo.
Precios en MXN, más IVA. El servidor y el hosting los paga tu empresa directo.
Cómo se hace paso a paso
-
Hoy
Me escribes tu versión
Con una línea basta: qué sistema es, en qué servidor vive y qué dice php -v. Si no sabes cómo verla, te digo cómo.
-
Mismo día
Confirmo si entra
Rama 8.2 a 8.5 en servidor propio o VPS: entra. Hosting compartido o 8.1 o anterior: te explico la ruta que corresponde.
-
Hasta 24 h hábiles
Respaldo, actualización y prueba
Con tu visto bueno y en un horario que no te estorbe. Si algo falla, se regresa al respaldo.
-
Al terminar
Evidencia
Te mando php -v con la versión corregida y el resumen de lo que se hizo.
Lo que me preguntan sobre este aviso
¿Qué es php2shell?
Es el nombre con el que se conoce a dos fallas críticas del núcleo de PHP publicadas el 21 de octubre de 2026: CVE-2026-109618 (corrupción al quedarse sin memoria) y CVE-2026-109619 (estado global que sobrevive entre peticiones). Las dos tienen calificación CVSS v4 de 9.2 y permiten ejecutar código en el servidor sin autenticación. Se corrigen actualizando a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
¿Qué pasó con PHP el 21 de octubre de 2026?
PHP publicó dos fallas críticas en su núcleo, CVE-2026-109618 y CVE-2026-109619, con calificación CVSS v4 de 9.2. Permiten ejecutar código sin autenticación. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El aviso dice que no hay mitigaciones completas y que actualizar es la única opción segura.
¿Cómo sé si mi sistema usa PHP y en qué versión?
Quien administra tu servidor puede correr php -v y decirte la versión en un minuto. Si tu sistema está hecho en Laravel, WordPress, CodeIgniter o PHP «a mano», usa PHP. Si no tienes a quién preguntarle, mándame el nombre del sistema y dónde está alojado, y te digo cómo averiguarlo.
¿Qué incluye el exprés y qué no?
Incluye la actualización de PHP a la versión corregida, con respaldo, prueba y evidencia de php -v, en 24 horas hábiles y a $2,900 + IVA por servidor o sitio. No incluye una auditoría ni una migración de versión. Si descubro que tu sistema necesita más que el parche, te lo digo antes de cobrar nada extra.
Mi sistema está en PHP 7 u 8.1. ¿Me lo actualizan igual?
No te prometo el exprés, porque PHP 8.1 y las anteriores ya no tienen soporte: no hay versión corregida oficial. El equipo de PHP publicó parches de código mínimos para 7.4, 8.0 y 8.1 (hay que compilarlos) y algunas distribuciones de Linux retroportan el arreglo; eso se revisa caso por caso. Lo que sí hago es el diagnóstico de rescate ($9,900 + IVA, 5 días hábiles) con un plan de migración a una versión con soporte.
Uso hosting compartido. ¿Qué hago?
En un hosting compartido PHP lo actualiza el proveedor, no tú ni yo. Pídele por escrito la versión que corre tu cuenta y cuándo aplicará las versiones corregidas. Mándame lo que te conteste y lo revisamos juntos; si tu panel te deja elegir versión, te digo cuál.
¿Se acredita si luego necesito el diagnóstico de rescate?
Sí. Lo que pagues por el exprés se descuenta del diagnóstico de rescate de sistemas PHP y Laravel ($9,900 + IVA) si lo contratas después.
¿Cómo actualizo PHP si uso Docker?
Haz docker pull de la imagen base que trae la versión corregida, reconstruye tu imagen y despliega. Después corre php -v dentro del contenedor en producción. Si tu plataforma reutiliza la imagen de un commit ya construido, el redeploy sale bien y sigue en la versión vieja: fuerza la reconstrucción o despliega un commit nuevo.
¿Mi WordPress está afectado?
WordPress corre sobre PHP, así que depende de la versión de PHP del servidor, no de la de WordPress. La ves en Herramientas → Salud del sitio → Información → Servidor. Si es menor que la corregida de su rama, pídele a tu hosting que la actualice.
¿Qué hago si no puedo actualizar hoy?
El aviso de php.net lista medidas temporales que reducen la exposición sin hacer segura la instalación, como session.upload_progress.enabled = 0 con los workers reiniciados. CISA recomienda sacar de línea los sistemas en PHP que no se puedan parchear hasta actualizarlos. Actualizar sigue siendo la única corrección completa.
¿Con las reglas de un firewall ya estoy protegido?
Ayudan mientras actualizas, y algunos proveedores las activaron como medida temporal. PHP indica que no hay mitigaciones completas, así que no sustituyen la actualización.
¿Tienen que apagar mi sistema?
Un momento. Cambiar la versión de PHP implica reiniciar el servicio, que suele tomar minutos. Lo hago en el horario que me indiques y con el respaldo ya listo.
Dime en qué versión de PHP está tu sistema
Con el nombre del sistema y el resultado de php -v te confirmo el mismo día si entra en el exprés o si conviene el diagnóstico.
07 / Contacto
Cuéntame de tu sistema y te digo si entra en el exprés.
Completa el formulario y te respondo en menos de 24 horas. También puedes escribirme directo: