---
title: "PHP2Shell: por qué internet arde hoy, y por qué PixelUnion no está afectado"
description: "Dos fallos críticos de PHP se filtraron antes de que hubiera parche, y buena parte de la web va a contrarreloj. Esto es PHP2Shell, por qué es tan grave y por qué tus fotos en PixelUnion no corren peligro."
url: "https://pixelunion.eu/es/blog/php2shell/"
date: "2026-10-21"
author: "Marc"
categories: ["Privacy"]
tags: ["Security","PHP","PHP2Shell","Vulnerability","Open source"]
---


Si trabajas cerca de un servidor web, hoy no es un miércoles tranquilo. Dos vulnerabilidades críticas de PHP, apodadas PHP2Shell, se filtraron en línea antes de que el equipo de PHP pudiera publicar una corrección. Administradores de todo el mundo esperan ahora un parche previsto para las 14:00 UTC de hoy, y los atacantes esperan junto a ellos.

Versión corta para los usuarios de PixelUnion: tus fotos no corren peligro. La versión larga viene a continuación.

## Qué es PHP2Shell

PHP2Shell es el nombre de dos fallos, CVE-2026-109618 y CVE-2026-109619. Los dos tienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. Esa puntuación significa que un atacante puede ejecutar su propio código en un servidor vulnerable sin iniciar sesión. En la práctica: enviar la petición adecuada a un sitio web y obtener una shell en la máquina que hay detrás. De ahí el nombre.

La causa exacta no se ha publicado. Los investigadores sospechan de un error de memoria (un use-after-free) en la parte de PHP que gestiona la subida de archivos, pero aún no está confirmado, y al menos una auditoría lo pone en duda. Lo que sí está confirmado: la empresa de seguridad watchTowr dice haber reproducido uno de los dos errores y afirma que «estas vulnerabilidades son reales». Tampoco está claro qué versiones de PHP están afectadas. Las primeras afirmaciones hablan de todo lo que llega hasta PHP 5.4, y PHP no ha publicado un rango oficial.

## Por qué internet arde hoy

Tres factores empeoran este caso respecto a un boletín de seguridad corriente.

Primero, el alcance. PHP mueve aproximadamente tres cuartas partes de todos los sitios web cuyo lenguaje de servidor se conoce. WordPress, la mayoría de las tiendas online, innumerables paneles de hosting y foros se apoyan en él. Un fallo de ejecución remota de código en PHP mismo, y no en un plugin o en una aplicación concreta, afecta a una enorme parte de la web de golpe.

Segundo, la filtración. Lo normal es que primero salga la corrección y los detalles lleguen después, lo que da ventaja a los defensores. Esta vez los detalles salieron antes que el parche. La medida paliativa que circuló primero, desactivar la función de progreso de subida de PHP, resultó ser incompleta. Hubo un periodo en el que todos sabían que la puerta estaba abierta y nadie tenía cerradura.

Tercero, el propio parche se convierte en un mapa. Cuando las versiones corregidas sean públicas, los atacantes podrán comparar el código viejo con el nuevo y ver exactamente qué cambió. La empresa de seguridad Sansec espera una explotación masiva a los 15 minutos de la publicación. Además, los escaneos muestran que unos 884.000 servidores expuestos a internet siguen anunciando PHP 8.1 o anterior. Esas ramas han llegado al final de su vida útil y probablemente nunca recibirán corrección.

Así que hoy mucha gente mira una página de lanzamientos, lista para actualizar en cuanto salga. Algunos no llegarán a tiempo.

## Por qué PixelUnion no está afectado

PixelUnion funciona sobre Immich, y Immich no está escrito en PHP. El servidor es TypeScript sobre Node.js, con un servicio de aprendizaje automático aparte en Python. No hay ningún intérprete de PHP en el camino entre tu móvil y tus fotos. Un error en la gestión de subidas de PHP no puede activarse en un servidor que no ejecuta PHP.

Para ser exactos: sí teníamos un pequeño servicio periférico en PHP. Estaba fuera de la plataforma de fotos, en una infraestructura separada, y no tenía acceso a tu biblioteca. No quisimos apostar a que un parche desconocido llegara a tiempo, así que lo apagamos antes de la ventana de publicación. Seguirá apagado hasta que verifiquemos una versión corregida.

Nada de esto significa que nos creamos inmunes a los problemas de seguridad. Toda pila tiene errores, la nuestra incluida. Lo que importa es saber exactamente qué se ejecuta y dónde, mantener la superficie de ataque pequeña y actuar rápido cuando llega algo así. Ese es el trabajo, y seguimos haciéndolo.

Si gestionas tus propios sitios PHP, consulta los [avisos de seguridad de PHP](https://www.php.net/) y aplica el parche en cuanto salga la versión. Si buscas un lugar para tus fotos construido con este nivel de cuidado, nos encantaría tenerte con nosotros.

[Empieza gratis con PixelUnion →](https://pixelunion.eu)

*Foto de portada de [Ricardo Gomez Angel](https://unsplash.com/@rgaleriacom) en [Unsplash](https://unsplash.com/photos/bonfire--98jVaVuGv0).*