El 21 de octubre de 2026, el proyecto PHP anunció dos vulnerabilidades críticas y publicó versiones corregidas. Una sola petición manipulada, enviada por un atacante sin autenticar, puede bastar para ejecutar código en el servidor. La prensa ha empezado a llamar a esta pareja de fallos «PHP2Shell».

PHP es la base de WordPress y de buena parte de las webs de pequeñas empresas, además de muchas herramientas de newsletter alojadas en servidores propios. Le explicamos qué significa esto si envía una newsletter y qué conviene revisar hoy mismo.

¿Qué es PHP2Shell (CVE-2026-109618 y CVE-2026-109619)?

Según el aviso de seguridad oficial de PHP:
Vulnerabilidades CVE-2026-109618 (corrupción de memoria al gestionar la falta de memoria) y CVE-2026-109619 (estado interno que persiste después de liberar su memoria)
Gravedad Ambas con una puntuación de 9,2 (crítica) en CVSS v4.0
Impacto Ejecución remota de código sin autenticación, con los permisos del usuario del servidor web
A quién afecta A cualquier instalación de PHP que atienda peticiones web. Apache con mod_php se describe como el caso de mayor riesgo
Versiones corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (publicadas el 21 de octubre)
Versiones antiguas PHP 8.1 y anteriores ya no tienen soporte oficial; se publicaron parches mínimos para 7.4, 8.0 y 8.1

PHP indica que actualizar es la única solución completa. Los cambios de configuración solo reducen el riesgo.

Según investigadores de seguridad y medios especializados, hubo intentos de explotación antes del anuncio público y ya circula código de explotación.

En España, INCIBE-CERT ha publicado un aviso de importancia crítica sobre estas dos vulnerabilidades. Recomienda actualizar de inmediato y, si un sistema expuesto a Internet no puede actualizarse, aislarlo de las redes públicas hasta aplicar una versión corregida.

Cómo afecta PHP2Shell a su newsletter

Si envía una newsletter, hay dos riesgos distintos.

1. Le toman el control de la web

Si los atacantes se hacen con su web en WordPress u otra web en PHP, pueden colocar anuncios falsos o enlaces a sitios maliciosos en sus noticias y entradas del blog.

Si después prepara la newsletter a partir de esas entradas, su propia newsletter llevará a los lectores a un sitio peligroso. Pierde la confianza de sus lectores, y las denuncias de spam harán que sus próximos correos lleguen peor.

2. Le toman el control del sistema de envío

Si usa una herramienta de newsletter en PHP o un plugin de newsletter de WordPress en su propio servidor, los atacantes podrían:

  • Robar su lista de suscriptores (direcciones de correo y nombres)
  • Usar su servidor para enviar spam o phishing de forma masiva
  • Dañar la reputación de su dominio, de modo que ni siquiera sus correos legítimos lleguen a la bandeja de entrada

Si usa WordPress o un plugin de newsletter

WordPress y sus plugins de newsletter funcionan sobre PHP. Actualizar WordPress y los plugins no corrige esta vulnerabilidad si el propio PHP está desactualizado. Compruebe su versión de PHP en el panel de control de su proveedor de alojamiento o en sus avisos.

Lista de comprobación para hoy

Qué hacer Cómo comprobarlo
Comprobar la versión de PHP En el panel de control o en los avisos de su proveedor de alojamiento. Si no es una de las versiones corregidas de arriba, pida la actualización a su proveedor o administrador
Si no puede actualizar enseguida Hable con su administrador sobre los ajustes provisionales que propone PHP (reducen el riesgo, pero no lo eliminan). INCIBE-CERT recomienda aislar de las redes públicas los sistemas expuestos que no puedan actualizarse
Actualizar WordPress y los plugins No corrige este fallo, pero cierra otras vías de entrada
Revisar el contenido reciente de la web Busque entradas o enlaces que no reconozca
Vigilar el volumen de envíos Busque envíos que no haya programado o picos repentinos
Vigilar las denuncias de spam y los rebotes Un aumento brusco puede indicar un ataque
Leer los informes DMARC Compruebe si hay servidores desconocidos enviando correo en nombre de su dominio

Si su lista de suscriptores puede haberse filtrado

Las direcciones de correo y los nombres de sus suscriptores son datos personales según el RGPD. Ante una brecha de datos personales:

  • Notificación a la AEPD (artículo 33 del RGPD): sin dilación indebida y, si es posible, en las 72 horas siguientes a tener constancia de ella, salvo que sea improbable que la brecha suponga un riesgo para las personas. Si se notifica más tarde, hay que explicar el motivo del retraso. La notificación se hace a través del canal de brechas de la sede electrónica de la Agencia Española de Protección de Datos.
  • Comunicación a los afectados (artículo 34 del RGPD): cuando sea probable que la brecha suponga un alto riesgo para sus derechos y libertades.

Las brechas deben documentarse aunque no se notifiquen. La AEPD ofrece además la herramienta gratuita Asesora Brecha para ayudar a decidir si hay que notificar. Si cree que se han expuesto datos de suscriptores, busque asesoramiento, por ejemplo de su delegado de protección de datos.

No alojar uno mismo el sistema de envío

Cuando el sistema de newsletter funciona en su propio servidor, aplicar parches para fallos como este es tarea suya. Con un servicio de newsletter alojado, mantener actualizada la infraestructura de envío es responsabilidad del proveedor.

Newsletter Ready no usa PHP, así que esta vulnerabilidad no le afecta. La seguridad de la web de la que se nutre su newsletter sigue siendo cosa suya, así que compruebe también su versión de PHP.

Fuentes

Este artículo es información general, no asesoramiento jurídico.