PHP2Shell y WordPress
Por qué actualizar WordPress no basta y qué debe hacer tu hosting.
Inicio /
Octubre Negro: PHP2Shell y qué deben revisar las empresas en Chile
Dos vulnerabilidades críticas de PHP, parches disponibles desde el 21 de octubre de 2026.
Qué significa “Octubre Negro”
“Octubre Negro” es un término periodístico que varios medios usan para referirse a dos vulnerabilidades críticas del propio PHP, conocidas como PHP2Shell. No es un nombre oficial: ni php.net ni el CSIRT lo usan. “PHP2Shell” es el nombre acuñado por la empresa Wiz.
Datos verificados en fuentes primarias
- CVE-2026-109618 — ejecución remota de código por corrupción de memoria al agotarse la memoria (OOM).
- CVE-2026-109619 — ejecución remota de código por uso de estado global obsoleto (use-after-free).
- Ambas con CVSS v4.0 de 9.2, explotables sin autenticación.
- Versiones corregidas (21 de octubre de 2026): PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Afectadas: versiones anteriores a esas. PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto.
- PHP indica que no hay mitigaciones completas: actualizar es la única opción segura.
- El CSIRT Nacional/ANCI publicó la alerta AVC26-00740 y cita intentos de explotación desde el 17 de octubre de 2026 y pruebas de concepto públicas.
Checklist de seguridad web
Acciones concretas, ordenadas.
Fuentes
Aviso de PHP (21 oct 2026) · GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · CSIRT Nacional / ANCI AVC26-00740
Contenido informativo; no sustituye una evaluación del entorno concreto. Usar PHP no implica que un sitio esté comprometido: implica que debe estar en una versión corregida.
¿Quieres una evaluación?
Escríbenos a contacto@exis.cl con el sitio o sistema y el alcance que necesitas. No incluyas contraseñas.