Vulnerabilidad PHP2Shell: alerta de seguridad para todos los servidores de juegos (CVE-2026-109618)

Índice#

• PHP2Shell en dos minutos
• Por qué los servidores de juegos están en primera línea
• Qué está afectado en tu servidor y quién debe actuar
• Las versiones de PHP corregidas
• Paso a paso para administradores
• Si no puedes actualizar enseguida
• Y los jugadores
• Preguntas frecuentes
• Fuentes

Introducción#

El 20 de octubre de 2026, el equipo de seguridad de PHP hizo algo bastante poco habitual: anunció públicamente que al día siguiente saldría un parche crítico, porque ya se había filtrado en internet información sobre dos vulnerabilidades. El miércoles 21 de octubre a las 16:00 (hora peninsular española), las versiones corregidas estaban disponibles. El apodo de estos fallos, PHP2Shell, lo resume bien: conseguir acceso total (una «shell») al servidor, sin cuenta y sin contraseña.

Tu servidor de Minecraft o de FiveM no funciona con PHP, es verdad. Su web, su tienda, su página de votos y a menudo su panel de gestión, sí. Azuriom, CraftMyWebsite, NamelessMC, WordPress, Pterodactyl: las herramientas más extendidas entre los administradores de servidores de juegos están todas escritas en PHP. Esto es lo que tienes que revisar hoy, y en qué orden.

PHP2Shell en dos minutos#

PHP2Shell agrupa dos vulnerabilidades situadas en el propio núcleo de PHP. El equipo de seguridad del proyecto les asigna a cada una una nota de 9,2 sobre 10 (CVSS v4.0).

• CVE-2026-109618, la corrupción por falta de memoria. Cuando una petición agota la memoria permitida, PHP se interrumpe mientras algunos datos internos solo están inicializados a medias. La limpieza de final de petición los trata después como válidos.
• CVE-2026-109619, el estado global caducado. Una información ligada a una petición sobrevive después de que se libere la memoria que la contenía. La petición siguiente, atendida por el mismo proceso, la usa antes de que se reinicie.

En los dos casos, el resultado demostrado por los investigadores es el mismo: ejecución de código a distancia, sin autenticación, con los permisos del servidor web.

El detalle que lo cambia todo: en Apache con mod_php, el equipo de PHP precisa que una simple petición anónima puede desencadenar el ataque antes incluso de que se ejecute el código de la web. Tu CMS puede estar perfectamente actualizado y tus extensiones impecables, da igual. El fallo está por debajo.

Por qué esto no puede esperar a la semana que viene:

• los detalles técnicos de los dos fallos y una herramienta de explotación ya son públicos;
• watchTowr y otras empresas de seguridad informan de las primeras explotaciones reales;
• según Sansec, todas las versiones desde PHP 5.4 estarían afectadas, es decir, casi todo lo que sigue funcionando en la web;
• y una complejidad de ataque calificada de «alta» sobre el papel pesa poco cuando circula una herramienta lista para usar.

Por qué los servidores de juegos están en primera línea#

Una gran tienda online tiene un equipo técnico que seguramente ha pasado la noche con esto. Un servidor de Minecraft de cuarenta jugadores suele ser un fundador, dos moderadores y una web instalada hace dos años en un VPS de cinco euros al mes que nadie ha vuelto a tocar. Ese es justo el perfil que los escaneos automáticos encuentran primero.

Nuestro mundo tiene además un problema muy suyo: los CMS abandonados. MineWeb, durante mucho tiempo muy usado por los servidores francófonos, ya no se mantiene y exige PHP 7.4 como máximo. El proyecto PHP no publica ninguna versión oficial corregida para 7.4, 8.0 y 8.1. Solo ha puesto a disposición parches mínimos en código fuente, que hay que compilar uno mismo. En un hosting compartido, eso equivale a decir que no hay solución sencilla. Ya explicábamos en nuestra comparativa de CMS para Minecraft por qué había que dejarlo, y esta semana lo ilustra de forma muy concreta.

Las consecuencias de una web comprometida no tienen nada de teóricas. Una tienda pirateada puede servir para desviar pagos, robar las credenciales de los jugadores o mostrar una página de inicio de sesión falsa con los colores del servidor. Sin contar la pérdida de confianza, que cuesta mucho más recuperar que una web.

Qué está afectado en tu servidor y quién debe actuar#

El panel merece una atención especial. Quien se hace con él controla todos los servidores de juego que gestiona, las claves API y a menudo las copias de seguridad. Buena noticia, en cambio, para los nodos: Wings, el servicio que ejecuta los servidores en cada máquina, está escrito en Go y no está afectado por el fallo.

Sobre Tebex, un matiz: la tienda en sí está alojada por Tebex, así que no tienes PHP que actualizar por ese lado. Si tu propia web muestra la tienda mediante un módulo, es esa web la que hay que revisar.

Las versiones de PHP corregidas#

Las distribuciones Linux y los proveedores de soporte a largo plazo recibieron los parches por adelantado: en Debian, Ubuntu o AlmaLinux, los paquetes actualizados deberían llegar rápido a través del gestor habitual. Cuidado si usas el repositorio remi, muy extendido en las distribuciones de la familia Red Hat: el equipo de PHP avisa de que no tendrá actualización el mismo día y aconseja pasar por los paquetes de la distribución o compilar desde el código fuente.

Si tu web sigue en 8.2, aprovecha para planificar el paso a 8.3 u 8.4: dentro de diez semanas, esa rama ya no recibirá nada.

Paso a paso para administradores#

1. Haz inventario de todo lo que ejecuta PHP. Web, tienda, votos, foro, wiki, panel, y también los subdominios olvidados. El «test.miservidor.es» que montaste en 2023 para probar un tema cuenta tanto como la web principal.
2. Comprueba la versión que usa la web, no solo la del terminal. El comando php -v muestra la versión de línea de comandos, que puede ser distinta de la de PHP-FPM o Apache. El panel de tu proveedor o una página phpinfo() temporal (borrada justo después) te dan la respuesta real.
3. En un hosting compartido o gestionado, pide a tu proveedor la versión exacta aplicada. Una respuesta del tipo «nos estamos ocupando» no basta.
4. En un VPS o un dedicado, actualiza los paquetes (apt update && apt upgrade en Debian y Ubuntu, dnf upgrade en AlmaLinux o Rocky) y reinicia todos los procesos PHP: el servicio php-fpm, Apache si usa mod_php, los procesos lsphp en LiteSpeed. Reiniciar solo Nginx no recarga PHP.
5. Para un panel Pterodactyl o Pelican, aplica el mismo tratamiento al PHP que mueve el panel y revisa la lista de usuarios y de claves API.
6. Una vez actualizado, busca rastros. Archivos PHP creados recientemente en la carpeta de la web, cuentas de administrador desconocidas en el CMS, redirecciones extrañas, picos de carga. En caso de duda, cambia las contraseñas, las claves API de la tienda y del panel, y la clave de enlace entre la web y el servidor de juego (AzLink en Azuriom).

No encontrar nada raro en los registros no demuestra gran cosa, y el propio equipo de PHP lo dice. Si tienes una duda seria, lo más seguro sigue siendo restaurar una copia de seguridad anterior al 20 de octubre y aplicar la actualización antes de volver a poner la web en línea.

Si no puedes actualizar enseguida#

Que quede claro: ninguna de estas medidas hace que una instalación sea segura, y el equipo de PHP insiste en ello. Reducen la exposición mientras llega el parche.

• Desactivar el seguimiento del progreso de subidas con session.upload_progress.enabled = 0, en el php.ini o en la configuración del pool de FPM, y reiniciar cada worker. No mediante ini_set() ni un archivo .user.ini, que se aplican demasiado tarde. Una web de servidor de juego casi nunca usa esta función: puedes dejarla desactivada incluso después del parche.
• Reducir el tamaño de las peticiones aceptadas: post_max_size = 8M si la web no acepta subidas de archivos, 32M si las acepta, con un upload_max_filesize inferior.
• Eliminar el límite de memoria controlable imponiendo memory_limit = -1 desde la administración (php_admin_value en el pool de FPM o en la configuración de Apache). Combínalo sí o sí con un límite a nivel de contenedor o de cgroup, o una sola petición pesada podría saturar la máquina.
• En PHP 8.5, definir fatal_error_backtraces = 0.
• Filtrar por delante: Sansec recomienda bloquear las peticiones multipart/form-data a nivel del servidor web cuando la web no las necesita, o poner la web detrás de Cloudflare mientras corriges.

Último recurso, recomendado por el CERT-EU a las organizaciones que no pueden parchear: aislar la web de internet. Para un servidor de juego, una página de mantenimiento durante 48 horas sale mucho más barata que una base de cuentas de jugadores circulando por ahí.

Y los jugadores#

No tienes que cambiar nada en tu juego. Aun así, esta semana merece la pena tener algunos reflejos:

• usa una contraseña distinta para cada tienda y cada foro de servidor, porque basta con una sola base robada para probar tus credenciales en otros sitios;
• activa la verificación en dos pasos cuando esté disponible;
• desconfía de una web de servidor que de repente te redirige a otro sitio o te pide descargar un «launcher obligatorio»;
• si un servidor anuncia un incidente, cambia tu contraseña allí y en todos los sitios donde la hayas reutilizado.

Sansec señala además que uno de los dos fallos permite filtrar fragmentos de la memoria del servidor. En una web mal parcheada, pueden salir trozos de datos procesados para otros visitantes. Un motivo más para no reciclar contraseñas.

Preguntas frecuentes#

¿PHP2Shell afecta a mi servidor de Minecraft en sí?#

No. El servidor de Minecraft Java funciona con Java, el de Bedrock con C++, y FiveM y Garry's Mod se apoyan en sus propios motores. El riesgo viene de los servicios web que los rodean, y del panel si está instalado en la misma máquina que el servidor de juego.

Mi web está en un hosting compartido, ¿tengo que hacer algo?#

Sí: comprobar. Es tu proveedor quien aplica la actualización, pero muchas veces eres tú quien elige la rama de PHP en el panel. Si tu web está configurada en una versión abandonada como 7.4 u 8.1 para seguir siendo compatible con un CMS antiguo, nada garantiza que la actualización del proveedor te proteja.

Uso una tienda Tebex, ¿estoy afectado?#

No por la tienda en sí, alojada y mantenida por Tebex. En cambio, la web en la que la integras, tu CMS o tu foro, hay que revisarla como cualquier otra web en PHP.

¿Azuriom es vulnerable?#

El fallo no viene de Azuriom sino de PHP, el lenguaje sobre el que funciona. Un Azuriom instalado sobre un PHP sin parchear está por tanto expuesto, como cualquier CMS en PHP. Actualizar PHP es suficiente: no hay nada que reinstalar en el CMS.

¿Cómo saber si mi web ya ha sido pirateada?#

Las señales más habituales: archivos PHP desconocidos creados hace poco, una cuenta de administrador que nadie conoce, redirecciones a otras webs, un aviso de tu proveedor o un consumo de CPU anormal. Ninguna de estas señales es una prueba absoluta, y su ausencia tampoco. Si tienes una duda real, restaura una copia de seguridad limpia, actualiza PHP y cambia todos los accesos.

Conclusión#

PHP2Shell no apunta a ningún juego en concreto, y eso es justo lo que lo hace peligroso para nuestro ecosistema: entra por la parte que muchos administradores tienden a olvidar una vez lanzada la web. La actualización lleva unos diez minutos en un VPS y un ticket en un hosting compartido. El verdadero trabajo está en las webs ancladas en versiones abandonadas, con MineWeb a la cabeza, para las que migrar ya no es algo que se pueda seguir aplazando.

Una vez corregida tu infraestructura, lo siguiente no cambia: mantener viva tu comunidad. Nuestra guía para atraer jugadores a tu servidor de Minecraft detalla las palancas que funcionan, y puedes publicar tu servidor gratis en ServeurListe para aparecer en nuestras clasificaciones.

Fuentes#

• www.php.net/archive/2026.php#2026-10-21-5 (aviso de seguridad de PHP)
• www.php.net/archive/2026.php#2026-10-20-1 (aviso previo de la versión de seguridad)
• www.php.net/archive/2026.php#2026-10-21-4 (PHP 8.5.12)
• www.php.net/archive/2026.php#2026-10-21-3 (PHP 8.4.27)
• www.php.net/archive/2026.php#2026-10-21-2 (PHP 8.3.36)
• www.php.net/archive/2026.php#2026-10-21-1 (PHP 8.2.35)
• github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• cert.europa.eu/publications/security-advisories/2026-018 (CERT-EU)
• sansec.io/research/php2shell (Sansec)
• watchtowr.com/intelligence/php-cve-2026-109618-faq (watchTowr)