Todas las tiendas Magento que alojamos y gestionamos se han actualizado contra PHP2Shell, las dos vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619) publicadas el 21 de octubre de 2026. Si su tienda está en nuestros servidores, no tiene que hacer nada.
Qué es PHP2Shell
PHP2Shell es un par de fallos en el propio PHP, no en Magento ni en ninguna extensión. Afectan a todos los servidores con PHP 5.4 o posterior, tanto con Apache como con PHP-FPM, y permiten a un atacante ejecutar código en el servidor sin iniciar sesión. Los investigadores demostraron un ataque funcional contra una instalación limpia de Magento 2.4.9, y los primeros intentos de ataque se detectaron incluso antes de que se publicara la corrección.
Como PHP lee cada petición antes de que se ejecute el código de la tienda, ni el modo de mantenimiento de Magento ni las extensiones de seguridad o los filtros a nivel de tienda pueden detenerlo. La verdadera solución es actualizar PHP en el servidor.
Qué hemos hecho
En cuanto salieron las versiones corregidas de PHP, actualizamos PHP en todos los servidores que gestionamos, así que todas las tiendas con una versión de PHP con soporte están ahora totalmente corregidas.
Tiendas con versiones antiguas de PHP
PHP solo publica correcciones de seguridad para la versión 8.2 y posteriores. Las tiendas que todavía usan versiones anteriores, como PHP 7.2, no reciben una corrección oficial. En esas tiendas hemos aplicado una protección temporal que bloquea las vías de ataque conocidas, pero es una medida provisional, no una solución definitiva.
La única solución duradera es pasar la tienda a una versión de PHP con soporte, lo que en las tiendas más antiguas suele implicar también actualizar Magento. Si su tienda está en este grupo, hable con nosotros para planificar la actualización.
¿No está alojado con nosotros?
- Actualice PHP en todos los servidores ya, o pida a su proveedor de alojamiento que lo haga hoy mismo. No se puede corregir desde dentro de Magento.
- Con PHP 8.1 o anterior no hay corrección oficial. Pida a su proveedor una corrección adaptada (backport) o el paso a una versión con soporte.
- Compruebe antes que nadie haya entrado. Nuestro WhizzyScan gratuito revisa sus archivos y su base de datos en busca de webshells y puertas traseras:
curl https://shopwhizzy.com/gowiz/external/agent | sh
Todos los detalles técnicos están en el aviso de Sansec sobre PHP2Shell.