{"id":10207,"date":"2026-10-23T10:50:18","date_gmt":"2026-10-23T08:50:18","guid":{"rendered":"https:\/\/www.hostingtg.com\/blog\/?p=10207"},"modified":"2026-10-23T10:51:30","modified_gmt":"2026-10-23T08:51:30","slug":"mitigar-la-vulnerabilidad-critica-de-php","status":"publish","type":"post","link":"https:\/\/www.hostingtg.com\/blog\/mitigar-la-vulnerabilidad-critica-de-php\/","title":{"rendered":"C\u00f3mo mitigar la vulnerabilidad cr\u00edtica de PHP con Imunify360 y Hardened PHP"},"content":{"rendered":"\n<h1 class=\"wp-block-heading\">C\u00f3mo mitigar la vulnerabilidad cr\u00edtica de PHP con Imunify360 y Hardened PHP<\/h1>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de m\u00e1s de veinte a\u00f1os <a href=\"https:\/\/www.hostingtg.com\/blog\/administrar-un-servidor-vps\/\">administrando servidores<\/a> y trabajando en el sector del alojamiento web, hay algo que tengo cada vez m\u00e1s claro: <strong>la seguridad de una p\u00e1gina web no depende \u00fanicamente de mantener WordPress, PrestaShop o sus plugins actualizados. Tambi\u00e9n depende, y mucho, de lo que ocurre dentro del servidor donde est\u00e1 alojada.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y precisamente eso es lo que nos ha vuelto a recordar PHP2Shell, el nombre con el que se conocen dos vulnerabilidades cr\u00edticas de PHP que han puesto en alerta a administradores de sistemas y proveedores de hosting.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El 21 de octubre de 2026, el equipo de PHP public\u00f3 <a href=\"https:\/\/www.hostingtg.com\/blog\/vulnerabilidad-critica-en-php\/\">actualizaciones de seguridad para corregir dos fallos<\/a> identificados como <strong>CVE-2026-109618 y CVE-2026-109619<\/strong>, ambos con una gravedad de 9,2 sobre 10 seg\u00fan CVSS v4.0.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo preocupante es que estos errores pueden permitir que un atacante ejecute c\u00f3digo en un servidor de forma remota, sin necesidad de conocer contrase\u00f1as ni acceder previamente al panel de administraci\u00f3n de una p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No estamos hablando de un plugin vulnerable o de una aplicaci\u00f3n que su propietario haya olvidado actualizar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estamos hablando de un problema en el propio int\u00e9rprete de PHP, una pieza fundamental para el funcionamiento de millones de sitios web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG llevamos m\u00e1s de dos d\u00e9cadas trabajando con servidores y alojamientos web. Durante este tiempo hemos aprendido que la seguridad debe abordarse desde diferentes niveles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso utilizamos <strong>Imunify360 en todos nuestros hostings<\/strong>, dentro de una estrategia que combina prevenci\u00f3n, monitorizaci\u00f3n, mantenimiento y actualizaciones de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En este art\u00edculo quiero explicar qu\u00e9 es PHP2Shell, qu\u00e9 riesgos representa y c\u00f3mo podemos mitigar las vulnerabilidades cr\u00edticas de PHP utilizando Imunify360, Hardened PHP y los parches de seguridad correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Porque si algo nos ha ense\u00f1ado nuestra experiencia es que <strong>no basta con reaccionar cuando aparece una vulnerabilidad: tambi\u00e9n debemos disponer de las herramientas necesarias para reducir sus consecuencias.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">PHP2Shell: la vulnerabilidad cr\u00edtica que pone en riesgo los servidores PHP<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP es uno de los lenguajes de programaci\u00f3n m\u00e1s utilizados para desarrollar p\u00e1ginas web y aplicaciones din\u00e1micas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sistemas tan conocidos como WordPress, <a href=\"https:\/\/www.hostingtg.com\/blog\/si-tienes-prestashop-necesitas-actualizar\/\">PrestaShop<\/a>, Joomla, Drupal o Moodle dependen de PHP para ejecutar buena parte de sus funciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Normalmente, cuando hablamos de vulnerabilidades en estas plataformas, pensamos en extensiones desactualizadas, temas inseguros o errores en el c\u00f3digo de una aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, PHP2Shell es diferente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las vulnerabilidades est\u00e1n presentes en componentes internos del propio lenguaje, relacionados con la gesti\u00f3n de memoria y el procesamiento de determinadas peticiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto significa que el problema puede afectar a m\u00faltiples aplicaciones que comparten una misma instalaci\u00f3n de PHP, independientemente de que su c\u00f3digo est\u00e9 actualizado.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 son CVE-2026-109618 y CVE-2026-109619<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque las dos vulnerabilidades se agrupan bajo el nombre PHP2Shell, sus causas t\u00e9cnicas son distintas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-109618: corrupci\u00f3n de memoria por falta de recursos<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta vulnerabilidad est\u00e1 relacionada con la manera en la que PHP gestiona determinados errores de falta de memoria, conocidos como <em>Out of Memory<\/em> u OOM.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bajo ciertas condiciones, el procesamiento de una petici\u00f3n puede interrumpirse cuando algunas estructuras internas todav\u00eda no est\u00e1n completamente inicializadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Posteriormente, los procesos de limpieza pueden utilizar informaci\u00f3n inv\u00e1lida, generando situaciones de corrupci\u00f3n de memoria.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En determinadas configuraciones, un atacante podr\u00eda aprovechar este comportamiento para ejecutar c\u00f3digo malicioso.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>CVE-2026-109619: reutilizaci\u00f3n de informaci\u00f3n interna liberada<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El segundo fallo est\u00e1 relacionado con el uso de informaci\u00f3n interna cuya memoria ya ha sido liberada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En determinados escenarios, datos pertenecientes a una petici\u00f3n anterior pueden permanecer asociados al proceso PHP y ser utilizados incorrectamente cuando se procesa una nueva solicitud.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este comportamiento puede dar lugar a una vulnerabilidad de tipo use-after-free (uso de memoria despu\u00e9s de haber sido liberada), que bajo determinadas condiciones tambi\u00e9n puede permitir a un atacante ejecutar c\u00f3digo malicioso de forma remota en el servidor.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 una web actualizada tambi\u00e9n puede ser vulnerable<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los errores que m\u00e1s he visto durante mi trayectoria profesional es pensar que una p\u00e1gina web est\u00e1 protegida simplemente porque utiliza las \u00faltimas versiones de sus aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y quiero dejar algo claro: <a href=\"https:\/\/www.hostingtg.com\/blog\/wordpress-7-1-3-que-vulnerabilidades-corrige\/\">mantener actualizado WordPress<\/a>, PrestaShop o cualquier otro CMS es imprescindible, pero no garantiza por s\u00ed solo que el alojamiento sea seguro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imaginemos una tienda online que utiliza la versi\u00f3n m\u00e1s reciente de PrestaShop, tiene todos sus m\u00f3dulos actualizados y cuenta con contrase\u00f1as seguras.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En principio, su propietario est\u00e1 haciendo las cosas correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, si el servidor donde est\u00e1 alojada ejecuta una versi\u00f3n vulnerable de PHP, esa tienda podr\u00eda seguir expuesta a PHP2Shell.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El motivo es sencillo: <strong>las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 afectan al int\u00e9rprete de PHP, no al c\u00f3digo espec\u00edfico de la tienda online.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, el equipo de seguridad de PHP ha confirmado que determinadas condiciones de explotaci\u00f3n pueden producirse antes de que comience a ejecutarse el c\u00f3digo de la aplicaci\u00f3n, especialmente en servidores que utilizan Apache con mod_php.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta particularmente preocupante porque deja fuera de juego algunas de las medidas de seguridad que normalmente aplicamos dentro de WordPress o PrestaShop.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, un <a href=\"https:\/\/www.hostingtg.com\/blog\/wordfence-wordpress\/\">plugin de seguridad de WordPress<\/a> no puede corregir un fallo que se produce antes de que WordPress empiece a ejecutarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, despu\u00e9s de tantos a\u00f1os trabajando con servidores, insisto en una idea: la seguridad debe comenzar en la infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y ah\u00ed es donde entran en juego las actualizaciones de PHP, las reglas de protecci\u00f3n de Imunify360 y soluciones de soporte extendido como Hardened PHP.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Versiones de PHP afectadas y versiones corregidas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El 21 de octubre de 2026 se publicaron las actualizaciones oficiales que corrigen las dos vulnerabilidades cr\u00edticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las versiones afectadas y sus correspondientes versiones corregidas son las siguientes:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Rama de PHP<\/th><th>Versiones vulnerables<\/th><th>Primera versi\u00f3n oficial corregida<\/th><\/tr><tr><td>PHP 8.5<\/td><td>8.5.11 y anteriores<\/td><td>PHP 8.5.12<\/td><\/tr><tr><td>PHP 8.4<\/td><td>8.4.26 y anteriores<\/td><td>PHP 8.4.27<\/td><\/tr><tr><td>PHP 8.3<\/td><td>8.3.35 y anteriores<\/td><td>PHP 8.3.36<\/td><\/tr><tr><td>PHP 8.2<\/td><td>8.2.34 y anteriores<\/td><td>PHP 8.2.35<\/td><\/tr><tr><td>PHP 8.1 y anteriores<\/td><td>Sin nueva versi\u00f3n oficial corregida<\/td><td>Requieren actualizaci\u00f3n de rama o correcciones del proveedor<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Hay un matiz importante en esta tabla.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las versiones antiguas de PHP que han llegado al final de su vida \u00fatil, conocido como <em>End of Life<\/em> o EOL, ya no reciben actualizaciones oficiales convencionales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, determinados proveedores de sistemas operativos y servicios de soporte extendido distribuyen paquetes corregidos para esas ramas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, <strong>no debemos asumir que una instalaci\u00f3n es vulnerable \u00fanicamente porque su n\u00famero de versi\u00f3n parece antiguo<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, una distribuci\u00f3n puede mantener el n\u00famero PHP 8.4.26 e incorporar mediante un backport las correcciones que el proyecto oficial public\u00f3 en PHP 8.4.27.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es comprobar el paquete instalado, su fecha de compilaci\u00f3n y la informaci\u00f3n de seguridad facilitada por el proveedor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n debemos tener presente que en un mismo servidor pueden convivir varias versiones de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta situaci\u00f3n es muy habitual en <a href=\"https:\/\/www.hostingtg.com\/blog\/cambiar-version-php-en-cpanel\/\">alojamientos con cPanel<\/a>, donde diferentes clientes utilizan versiones distintas por motivos de compatibilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, actualizar la versi\u00f3n de PHP de una p\u00e1gina web no significa necesariamente que todas las instalaciones del servidor est\u00e9n protegidas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo ayuda Imunify360 a mitigar los ataques PHP2Shell<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando aparece una vulnerabilidad tan grave como PHP2Shell, una de mis principales preocupaciones es reducir la exposici\u00f3n mientras aplicamos las correcciones necesarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un servidor que aloja numerosas p\u00e1ginas web, cada minuto importa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante nuestra trayectoria en HostingTG hemos visto c\u00f3mo determinadas vulnerabilidades comienzan a utilizarse en ataques automatizados poco despu\u00e9s de hacerse p\u00fablicas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los atacantes no necesitan conocer personalmente una p\u00e1gina web ni tener un inter\u00e9s especial en ella.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En muchos casos utilizan herramientas que recorren grandes cantidades de direcciones buscando sistemas vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso considero fundamental disponer de soluciones capaces de detectar y bloquear comportamientos sospechosos antes de que lleguen a comprometer un servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aqu\u00ed es donde Imunify360 desempe\u00f1a un papel importante.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Reglas de firewall y protecci\u00f3n frente a intentos de explotaci\u00f3n<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Imunify360 es una plataforma de seguridad dise\u00f1ada para proteger servidores Linux utilizados en entornos de alojamiento web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entre sus principales funcionalidades encontramos el <a href=\"https:\/\/www.hostingtg.com\/blog\/cloudflare-waf-como-proteger-tu-wordpress\/\">firewall de aplicaciones web<\/a>, la detecci\u00f3n de malware, la monitorizaci\u00f3n de amenazas y diferentes mecanismos de protecci\u00f3n frente a ataques.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de PHP2Shell, Imunify360 ha distribuido reglas destinadas a identificar y bloquear determinados intentos de explotaci\u00f3n de las vulnerabilidades cr\u00edticas de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estas protecciones permiten actuar sobre patrones de tr\u00e1fico sospechosos antes de que las peticiones alcancen los componentes vulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi punto de vista, su utilidad es especialmente importante durante las primeras horas de una alerta de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No siempre es posible actualizar inmediatamente todos los servidores y todas las versiones de PHP instaladas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Puede haber aplicaciones que requieren pruebas de compatibilidad, clientes con configuraciones espec\u00edficas o paquetes del proveedor que todav\u00eda est\u00e1n pendientes de distribuci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Disponer de reglas de protecci\u00f3n adicionales ayuda a reducir el riesgo durante ese intervalo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ahora bien, las reglas de un firewall de aplicaciones web dependen de su capacidad para reconocer los comportamientos que intentan bloquear.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un atacante puede modificar determinadas caracter\u00edsticas de una petici\u00f3n y conseguir que deje de coincidir con los patrones conocidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, aunque Imunify360 representa una capa de seguridad muy valiosa, debemos entender correctamente su funci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Su objetivo es mitigar determinados ataques, no corregir los errores internos del int\u00e9rprete de PHP.<\/strong><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Por qu\u00e9 Imunify360 no sustituye las actualizaciones de PHP<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Este es uno de los puntos en los que m\u00e1s me gusta insistir cuando hablamos de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Instalar Imunify360 no significa que podamos olvidarnos de actualizar PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tampoco debemos interpretar que un servidor est\u00e1 completamente protegido simplemente porque su firewall ha recibido nuevas reglas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La diferencia entre mitigaci\u00f3n y correcci\u00f3n es fundamental.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una mitigaci\u00f3n intenta reducir la probabilidad de que una vulnerabilidad pueda explotarse.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una correcci\u00f3n elimina el fallo concreto que permite esa explotaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En PHP2Shell, el problema se encuentra en la gesti\u00f3n interna de memoria de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ninguna regla de firewall puede modificar por s\u00ed sola ese comportamiento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para corregirlo necesitamos instalar una versi\u00f3n de PHP que incorpore los parches correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, algunos ataques pueden utilizar variantes que no coincidan con las reglas de detecci\u00f3n existentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esta es precisamente la raz\u00f3n por la que no me gusta hablar de sistemas completamente invulnerables.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de tantos a\u00f1os trabajando en este sector, tengo claro que la seguridad absoluta no existe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que s\u00ed podemos hacer es establecer diferentes barreras, reducir la superficie de ataque y mantener actualizados los componentes cr\u00edticos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En otras palabras: <strong>Imunify360 es una parte importante de la soluci\u00f3n, pero no debemos confundir protecci\u00f3n adicional con eliminaci\u00f3n de la vulnerabilidad.<\/strong><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Nuestra estrategia de seguridad con Imunify360 en HostingTG<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG utilizamos Imunify360 en <a href=\"https:\/\/www.hostingtg.com\/hosting-wordpress\/\">todos nuestros hostings<\/a> porque consideramos que la seguridad debe formar parte de la infraestructura, no ser una opci\u00f3n que el cliente tenga que contratar por separado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A lo largo de m\u00e1s de veinte a\u00f1os hemos tenido que afrontar amenazas muy diferentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde <a href=\"https:\/\/www.hostingtg.com\/blog\/cphulk-en-cpanel-whm\/\">ataques de fuerza bruta<\/a> contra cuentas de administraci\u00f3n hasta archivos maliciosos, intentos de inyecci\u00f3n de c\u00f3digo, infecciones en gestores de contenidos y vulnerabilidades en componentes del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esa experiencia nos ha ense\u00f1ado que depender de una \u00fanica herramienta no es suficiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso trabajamos con una estrategia de protecci\u00f3n por capas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imunify360 nos proporciona capacidades de detecci\u00f3n, prevenci\u00f3n y respuesta frente a diferentes amenazas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las actualizaciones de seguridad permiten corregir vulnerabilidades conocidas en el sistema operativo y las aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La monitorizaci\u00f3n facilita identificar comportamientos an\u00f3malos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y la administraci\u00f3n activa del servidor permite revisar configuraciones y tomar decisiones cuando aparecen nuevas alertas de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell es un ejemplo de por qu\u00e9 considero acertado trabajar de esta manera.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si aparece una vulnerabilidad en PHP, necesitamos poder actuar tanto sobre el tr\u00e1fico que llega al servidor como sobre la versi\u00f3n del int\u00e9rprete que procesa las peticiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Una buena estrategia de seguridad no consiste en elegir entre firewall y actualizaciones, sino en utilizar ambas medidas de forma complementaria.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Hardened PHP: c\u00f3mo proteger versiones antiguas de PHP<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Uno de los problemas habituales cuando administramos servicios de alojamiento web es que no todas las aplicaciones pueden actualizarse inmediatamente a las versiones m\u00e1s recientes de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Me encuentro con esta situaci\u00f3n con bastante frecuencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hay p\u00e1ginas web desarrolladas hace a\u00f1os, tiendas online con m\u00f3dulos que dejaron de recibir mantenimiento y aplicaciones empresariales que dependen de determinadas funciones de versiones antiguas de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo ideal ser\u00eda modernizarlas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero quienes trabajamos administrando servidores sabemos que una migraci\u00f3n de PHP puede requerir modificaciones en el c\u00f3digo, pruebas de compatibilidad y, en algunos casos, una renovaci\u00f3n importante de la aplicaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mientras llega ese momento, necesitamos mantener el entorno lo m\u00e1s protegido posible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aqu\u00ed es donde Hardened PHP cobra especial importancia.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 es Hardened PHP y c\u00f3mo funciona el soporte extendido<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hardened PHP es una soluci\u00f3n de soporte de seguridad extendido que permite mantener determinadas versiones antiguas de PHP mediante la incorporaci\u00f3n de correcciones de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su principal utilidad es proporcionar una alternativa temporal para aplicaciones que todav\u00eda no pueden funcionar con una versi\u00f3n moderna de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando una rama alcanza el final de su vida \u00fatil, deja de recibir actualizaciones oficiales del proyecto PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eso no significa que sus vulnerabilidades desaparezcan.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Al contrario, pueden seguir descubri\u00e9ndose nuevos problemas de seguridad que afecten a esas versiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las soluciones de soporte extendido, como las que ofrece CloudLinux dentro de su ecosistema, permiten distribuir correcciones adaptadas a determinadas ramas antiguas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De esta manera, una aplicaci\u00f3n puede seguir funcionando con una versi\u00f3n compatible mientras se prepara su migraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG considero especialmente \u00fatil esta posibilidad cuando gestionamos alojamientos con necesidades t\u00e9cnicas diferentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero hay algo que debemos tener muy presente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Hardened PHP no debe utilizarse como excusa para mantener indefinidamente aplicaciones obsoletas.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque una versi\u00f3n antigua reciba determinadas correcciones, seguir utilizando software desactualizado puede implicar otros problemas de compatibilidad, mantenimiento y seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es utilizar el soporte extendido como una medida de transici\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nos ayuda a ganar tiempo para planificar correctamente una migraci\u00f3n, pero no deber\u00eda sustituir la modernizaci\u00f3n de las aplicaciones.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo activar Hardened PHP en cPanel con Imunify360<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Si administramos un servidor con <a href=\"https:\/\/www.hostingtg.com\/blog\/cve-2026-41940-cpanel-whm\/\">cPanel y WHM<\/a> que utiliza una instalaci\u00f3n compatible de Imunify360, podemos gestionar Hardened PHP desde la propia interfaz de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El procedimiento documentado por cPanel es el siguiente:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Accedemos a WHM utilizando una cuenta con privilegios de administrador root.<\/li>\n\n\n\n<li>Entramos en <strong>Home \u2192 Plugins \u2192 Imunify360<\/strong>.<\/li>\n\n\n\n<li>Abrimos el apartado <strong>Settings<\/strong>.<\/li>\n\n\n\n<li>Localizamos la secci\u00f3n <strong>General<\/strong>.<\/li>\n\n\n\n<li>Buscamos la opci\u00f3n correspondiente a la instalaci\u00f3n o desinstalaci\u00f3n de <strong>Hardened PHP<\/strong>.<\/li>\n\n\n\n<li>Activamos la instalaci\u00f3n cuando sea necesario y est\u00e9 disponible para nuestra configuraci\u00f3n.<\/li>\n\n\n\n<li>Comprobamos que se han instalado los paquetes correspondientes y verificamos las versiones de PHP utilizadas por las aplicaciones.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Es importante se\u00f1alar que la disponibilidad de Hardened PHP depende del sistema operativo, las licencias, los repositorios y la compatibilidad del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, la documentaci\u00f3n de cPanel indica que Hardened PHP todav\u00eda no est\u00e1 disponible para determinadas instalaciones de Ubuntu con cPanel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, antes de activarlo, debemos comprobar que nuestro entorno cumple los requisitos del fabricante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n conviene recordar que instalar Hardened PHP no garantiza que todas las cuentas del servidor est\u00e9n utilizando autom\u00e1ticamente una versi\u00f3n corregida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debemos revisar qu\u00e9 versiones de PHP est\u00e1n asignadas a los diferentes dominios y confirmar que los paquetes correspondientes contienen los parches necesarios.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Este \u00faltimo paso es imprescindible.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con activar una opci\u00f3n en el panel de control y asumir que el problema est\u00e1 resuelto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 son los backports y por qu\u00e9 importa comprobar los parches<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay un detalle t\u00e9cnico que puede generar bastante confusi\u00f3n cuando trabajamos con versiones antiguas de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Me refiero a los <em>backports<\/em>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un backport consiste en adaptar una correcci\u00f3n desarrollada para una versi\u00f3n m\u00e1s reciente de un programa y aplicarla a una versi\u00f3n anterior.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto permite solucionar una vulnerabilidad sin necesidad de incorporar todos los cambios existentes entre ambas versiones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Es especialmente \u00fatil en servidores donde determinadas aplicaciones dependen de una versi\u00f3n concreta de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Con PHP2Shell, este procedimiento ha adquirido especial importancia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las correcciones oficiales se encuentran en PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, algunos proveedores pueden distribuir paquetes que incorporan los mismos parches de seguridad sin modificar el n\u00famero principal de la versi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, un paquete de PHP 8.4.26 distribuido por un proveedor podr\u00eda incluir un backport de la correcci\u00f3n de seguridad, aunque la versi\u00f3n oficial corregida sea PHP 8.4.27.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto significa que mirar \u00fanicamente el resultado del comando <code>php -v<\/code> puede llevarnos a conclusiones equivocadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para comprobar correctamente el estado de seguridad debemos revisar:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>La versi\u00f3n de PHP que realmente utiliza la p\u00e1gina web.<\/li>\n\n\n\n<li>El proveedor del paquete instalado.<\/li>\n\n\n\n<li>La versi\u00f3n completa y revisi\u00f3n del paquete.<\/li>\n\n\n\n<li>Los registros de cambios y avisos de seguridad del proveedor.<\/li>\n\n\n\n<li>La presencia de los parches correspondientes a las dos vulnerabilidades.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Personalmente, considero que esta comprobaci\u00f3n es fundamental cuando administramos servidores con diferentes versiones de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Una versi\u00f3n aparentemente antigua no tiene por qu\u00e9 seguir siendo vulnerable si incorpora los parches correctos, pero debemos poder demostrarlo.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo proteger un servidor frente a PHP2Shell paso a paso<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando aparece una vulnerabilidad cr\u00edtica, mi prioridad es determinar qu\u00e9 sistemas est\u00e1n afectados y aplicar las medidas necesarias de forma ordenada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Prefiero seguir un procedimiento que permita identificar el problema, corregirlo y comprobar posteriormente que la soluci\u00f3n est\u00e1 funcionando.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un entorno de alojamiento web, donde pueden convivir decenas o cientos de aplicaciones, este enfoque resulta especialmente importante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No debemos dar por hecho que actualizar una \u00fanica versi\u00f3n de PHP protege autom\u00e1ticamente todo el servidor.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Identificar todas las versiones de PHP instaladas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El primer paso consiste en revisar qu\u00e9 versiones de PHP est\u00e1n disponibles y cu\u00e1les utilizan realmente las p\u00e1ginas web alojadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En un servidor Linux podemos comenzar ejecutando:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>php -v<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Este comando muestra la versi\u00f3n de PHP disponible en la l\u00ednea de comandos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, hay un detalle importante: la versi\u00f3n utilizada por la consola no tiene por qu\u00e9 coincidir con la que utiliza una p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En servidores con cPanel es habitual encontrar distintas versiones gestionadas mediante EasyApache o herramientas equivalentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso debemos revisar tambi\u00e9n las asignaciones de PHP de cada dominio mediante MultiPHP Manager, CloudLinux PHP Selector o el sistema correspondiente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si utilizamos PHP-FPM, tambi\u00e9n conviene identificar las versiones y servicios FPM activos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En entornos con varias versiones instaladas, podemos revisar los paquetes disponibles y los procesos que est\u00e1n ejecut\u00e1ndose.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El objetivo es elaborar un inventario completo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No debemos olvidar aplicaciones secundarias, subdominios, entornos de pruebas o instalaciones antiguas que siguen siendo accesibles desde Internet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi experiencia, estos sistemas olvidados suelen ser precisamente los que terminan generando problemas de seguridad.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aplicar las actualizaciones y parches de seguridad<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Una vez identificadas las versiones afectadas, debemos instalar los paquetes corregidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para las ramas oficiales de PHP, las primeras versiones que solucionan ambos fallos son:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>PHP 8.2.35.<\/li>\n\n\n\n<li>PHP 8.3.36.<\/li>\n\n\n\n<li>PHP 8.4.27.<\/li>\n\n\n\n<li>PHP 8.5.12.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Si utilizamos una distribuci\u00f3n que incorpora sus propias correcciones de seguridad, debemos seguir las instrucciones de su proveedor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto es especialmente importante en servidores con CloudLinux, Hardened PHP o paquetes distribuidos por el fabricante del panel de control.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No recomiendo sustituir manualmente los paquetes de PHP por otros procedentes de repositorios desconocidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una modificaci\u00f3n de este tipo puede provocar incompatibilidades, dependencias rotas o problemas con las actualizaciones posteriores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo adecuado es utilizar los canales oficiales del entorno que estamos administrando.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En sistemas que emplean DNF, por ejemplo, podemos consultar los paquetes instalados y las actualizaciones disponibles utilizando las herramientas habituales de gesti\u00f3n de paquetes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de ejecutar cualquier actualizaci\u00f3n, conviene revisar qu\u00e9 componentes van a modificarse y disponer de copias de seguridad recientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En servidores de producci\u00f3n tambi\u00e9n debemos valorar las posibles interrupciones de servicio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La prioridad es instalar los parches de seguridad cuanto antes, pero hacerlo de forma controlada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Revisar Imunify360 y aplicar mitigaciones temporales<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Mientras instalamos las actualizaciones, debemos comprobar que Imunify360 est\u00e1 funcionando correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto incluye revisar el estado del firewall, las actualizaciones de sus reglas de protecci\u00f3n y los registros de actividad relacionados con posibles intentos de explotaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si todav\u00eda no podemos instalar los parches correspondientes, existen algunas mitigaciones temporales recomendadas por el equipo de seguridad de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una de ellas consiste en desactivar el seguimiento del progreso de subida de archivos mediante la siguiente directiva:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>session.upload_progress.enabled = Off<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Esta configuraci\u00f3n reduce la exposici\u00f3n frente a determinadas t\u00e9cnicas relacionadas con CVE-2026-109619.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, <strong>no elimina completamente el riesgo ni corrige CVE-2026-109618<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n deben revisarse otras configuraciones relacionadas con los l\u00edmites de memoria y el tama\u00f1o de las peticiones HTTP, siguiendo las recomendaciones espec\u00edficas del proyecto PHP y del proveedor del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En este punto debemos tener especial cuidado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cambiar los l\u00edmites de memoria o el tama\u00f1o m\u00e1ximo de las peticiones puede afectar al funcionamiento normal de determinadas aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, una tienda online puede necesitar procesar archivos grandes, importar cat\u00e1logos o realizar operaciones que consumen una cantidad considerable de memoria.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, no conviene modificar estos valores indiscriminadamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es evaluar cada cambio antes de aplicarlo y comprobar posteriormente que las aplicaciones contin\u00faan funcionando.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y, sobre todo, recordar que estas medidas son temporales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La soluci\u00f3n definitiva sigue siendo instalar una versi\u00f3n de PHP que incorpore las correcciones de seguridad correspondientes.<\/strong><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Reiniciar los servicios PHP y verificar las correcciones<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay un aspecto de las actualizaciones que muchas veces pasa desapercibido.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Instalar un paquete corregido no significa necesariamente que todos los procesos del servidor est\u00e9n utilizando inmediatamente el c\u00f3digo nuevo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunos servicios pueden mantener procesos en memoria que todav\u00eda ejecutan componentes cargados antes de la actualizaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso debemos reiniciar o recargar, seg\u00fan corresponda, los servicios PHP afectados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En entornos con PHP-FPM, esto implica revisar los servicios y procesos asociados a cada versi\u00f3n instalada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si utilizamos Apache con mod_php, tambi\u00e9n debemos comprobar que el servicio web ha cargado las bibliotecas actualizadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s del reinicio, resulta imprescindible verificar el resultado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No basta con comprobar que el gestor de paquetes indica que la actualizaci\u00f3n se ha instalado correctamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Debemos confirmar que:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Las versiones de PHP utilizadas por las p\u00e1ginas web corresponden a versiones corregidas o paquetes con los backports adecuados.<\/li>\n\n\n\n<li>Los servicios PHP est\u00e1n funcionando con los nuevos componentes.<\/li>\n\n\n\n<li>Las p\u00e1ginas web contin\u00faan respondiendo correctamente.<\/li>\n\n\n\n<li>Los registros del servidor no muestran errores inesperados.<\/li>\n\n\n\n<li>Imunify360 permanece activo y con sus protecciones actualizadas.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">En servidores donde se alojan aplicaciones cr\u00edticas, tambi\u00e9n conviene comprobar las funciones principales de cada sitio.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por ejemplo, procesos de compra, formularios de contacto, accesos de usuarios, pasarelas de pago o tareas programadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante mi trayectoria administrando servidores he aprendido que una actualizaci\u00f3n no termina cuando finaliza el comando de instalaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La actualizaci\u00f3n termina cuando hemos comprobado que la correcci\u00f3n est\u00e1 aplicada y que el servicio funciona correctamente.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Por qu\u00e9 la seguridad de un hosting debe comenzar en el servidor<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hay una reflexi\u00f3n que me gustar\u00eda compartir a ra\u00edz de todo lo ocurrido con PHP2Shell.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante muchos a\u00f1os se ha insistido en que los propietarios de p\u00e1ginas web deben mantener actualizados sus gestores de contenidos, plugins y temas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y estoy completamente de acuerdo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero tambi\u00e9n considero importante recordar que existe una parte de la seguridad que el propietario de una p\u00e1gina web no puede gestionar directamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un cliente que utiliza <a href=\"https:\/\/www.hostingtg.com\/blog\/que-es-woocommerce\/\">WooCommerce<\/a> para vender sus productos no tiene por qu\u00e9 saber c\u00f3mo funciona internamente PHP-FPM.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tampoco deber\u00eda necesitar conocimientos sobre las diferencias entre mod_php y CGI, las reglas de ModSecurity o el funcionamiento de los backports de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para eso estamos los profesionales que administramos los servidores.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Las limitaciones de mantener \u00fanicamente WordPress y sus plugins actualizados<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Mantener actualizado WordPress es una de las medidas de seguridad m\u00e1s importantes que puede aplicar el propietario de una p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo mismo ocurre con los plugins, las plantillas y cualquier otra aplicaci\u00f3n instalada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Estas actualizaciones permiten corregir vulnerabilidades conocidas y reducir muchos riesgos habituales.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero no resuelven los problemas de seguridad que se encuentran en el sistema operativo, el servidor web o el int\u00e9rprete de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell demuestra precisamente esta diferencia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque todas las aplicaciones alojadas est\u00e9n completamente actualizadas, una versi\u00f3n vulnerable de PHP puede seguir representando un riesgo para ellas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, algunas vulnerabilidades pueden afectar a componentes compartidos por numerosas p\u00e1ginas web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, una \u00fanica instalaci\u00f3n vulnerable puede convertirse en un problema que exige actuar sobre una parte importante de la infraestructura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Desde mi punto de vista, el cliente y el proveedor de hosting tienen responsabilidades complementarias.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El propietario de la p\u00e1gina web debe preocuparse por mantener su aplicaci\u00f3n actualizada, utilizar credenciales seguras y seguir buenas pr\u00e1cticas de administraci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por su parte, el proveedor de alojamiento debe encargarse de mantener protegida la infraestructura bajo su responsabilidad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto incluye instalar las actualizaciones de seguridad, revisar configuraciones, monitorizar amenazas y aplicar las correcciones necesarias cuando aparecen nuevas vulnerabilidades.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En definitiva, la seguridad de una p\u00e1gina web no deber\u00eda depender exclusivamente de lo que haga su propietario.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Prevenci\u00f3n, monitorizaci\u00f3n y mantenimiento en HostingTG<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG llevamos m\u00e1s de veinte a\u00f1os trabajando con servidores y servicios de alojamiento web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante este tiempo hemos visto evolucionar tanto las tecnolog\u00edas que utilizamos como las amenazas a las que est\u00e1n expuestas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Los ataques actuales son cada vez m\u00e1s automatizados y pueden aprovechar vulnerabilidades que afectan a componentes muy concretos del servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso defendemos una estrategia de seguridad basada en diferentes capas de protecci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imunify360 es una de las herramientas que utilizamos en todos nuestros hostings porque nos permite contar con mecanismos adicionales de prevenci\u00f3n y detecci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pero no nos limitamos a instalar un software y olvidarnos del resto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n consideramos fundamental <a href=\"https:\/\/www.hostingtg.com\/mantenimiento-web-wordpress\/\">el mantenimiento de los sistemas<\/a>, la revisi\u00f3n de las actualizaciones y la administraci\u00f3n activa de los servidores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hardened PHP y las soluciones de soporte extendido pueden desempe\u00f1ar un papel importante cuando determinadas aplicaciones todav\u00eda necesitan versiones antiguas de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las actualizaciones oficiales permiten corregir los fallos desde su origen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y la monitorizaci\u00f3n ayuda a identificar comportamientos que requieren atenci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Todo forma parte de una misma estrategia.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Porque la seguridad no consiste \u00fanicamente en reaccionar cuando aparece un problema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n consiste en estar preparados para afrontarlo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No podemos garantizar que nunca vuelva a descubrirse una vulnerabilidad cr\u00edtica en PHP o en cualquier otro componente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo que s\u00ed podemos hacer es reducir los riesgos, mantener la infraestructura y disponer de mecanismos para actuar con rapidez.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y despu\u00e9s de tantos a\u00f1os trabajando en HostingTG, sigo pensando que esa es una de las diferencias m\u00e1s importantes entre limitarse a ofrecer espacio en un servidor y proporcionar un servicio de alojamiento web administrado.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Imunify360, Hardened PHP y actualizaciones como estrategia conjunta<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell nos ha recordado algo que quienes trabajamos administrando servidores conocemos bien: <strong>la seguridad de una p\u00e1gina web depende de muchos m\u00e1s elementos que su propio c\u00f3digo.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una vulnerabilidad en el int\u00e9rprete de PHP puede afectar a aplicaciones completamente actualizadas y poner en riesgo la infraestructura donde est\u00e1n alojadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso considero fundamental abordar este tipo de problemas utilizando diferentes medidas de protecci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Imunify360 nos ayuda a detectar y bloquear determinados intentos de explotaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hardened PHP y los sistemas de soporte extendido permiten incorporar correcciones de seguridad a versiones antiguas que todav\u00eda necesitan algunas aplicaciones.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Y las actualizaciones oficiales o los paquetes corregidos del proveedor solucionan las vulnerabilidades en el propio int\u00e9rprete.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">No son soluciones alternativas entre las que debamos elegir una sola.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Son herramientas complementarias que forman parte de una estrategia de seguridad m\u00e1s completa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En HostingTG llevamos m\u00e1s de veinte a\u00f1os trabajando con servidores y sabemos que las vulnerabilidades seguir\u00e1n apareciendo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hoy hablamos de PHP2Shell, pero ma\u00f1ana puede surgir un problema diferente que afecte a otro componente del sistema.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso seguimos apostando por combinar prevenci\u00f3n, mantenimiento, monitorizaci\u00f3n y capacidad de reacci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Porque, al final, <strong>la mejor seguridad no es la que promete que nunca ocurrir\u00e1 nada, sino la que trabaja continuamente para reducir los riesgos y estar preparada cuando aparece una nueva amenaza.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Dudas de la comunidad<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfImunify360 protege completamente contra PHP2Shell?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No. Imunify360 dispone de mecanismos de protecci\u00f3n que pueden bloquear determinados intentos de explotaci\u00f3n de PHP2Shell, pero no garantiza una protecci\u00f3n absoluta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sus reglas de firewall ayudan a reducir el riesgo, especialmente mientras se aplican las actualizaciones correspondientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 se encuentran en el propio int\u00e9rprete de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La correcci\u00f3n definitiva consiste en instalar una versi\u00f3n que incorpore los parches de seguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mi recomendaci\u00f3n es combinar Imunify360 con actualizaciones y monitorizaci\u00f3n, en lugar de depender exclusivamente del firewall.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfHardened PHP permite seguir utilizando versiones antiguas con seguridad?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hardened PHP permite recibir determinadas correcciones de seguridad en versiones de PHP que ya no cuentan con soporte oficial.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto resulta especialmente \u00fatil para aplicaciones antiguas que todav\u00eda no pueden migrarse a versiones modernas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, debemos comprobar que el proveedor ha publicado e instalado las correcciones necesarias para las vulnerabilidades concretas que queremos solucionar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, utilizar una versi\u00f3n antigua con soporte extendido no deber\u00eda interpretarse como una soluci\u00f3n permanente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Siempre que sea posible, recomiendo planificar la actualizaci\u00f3n de las aplicaciones para que puedan funcionar con versiones de PHP que sigan recibiendo mantenimiento oficial.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfC\u00f3mo saber si mi proveedor de hosting ha corregido PHP2Shell?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Lo primero es comprobar qu\u00e9 versi\u00f3n de PHP utiliza realmente la p\u00e1gina web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las primeras versiones oficiales que corrigen las dos vulnerabilidades son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si el alojamiento utiliza versiones anteriores, eso no significa necesariamente que contin\u00fae siendo vulnerable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunos proveedores incorporan correcciones mediante backports sin modificar el n\u00famero principal de la versi\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso recomiendo consultar con el proveedor de hosting y solicitar confirmaci\u00f3n de que los paquetes instalados incluyen los parches para CVE-2026-109618 y CVE-2026-109619.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n es importante confirmar que los servicios PHP se han reiniciado correctamente despu\u00e9s de aplicar las actualizaciones.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfEs suficiente actualizar WordPress para solucionar estas vulnerabilidades?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell afecta al int\u00e9rprete de PHP, no al n\u00facleo de WordPress.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por tanto, aunque WordPress, sus plugins y sus temas est\u00e9n completamente actualizados, la p\u00e1gina puede seguir expuesta si el servidor utiliza una versi\u00f3n vulnerable de PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para corregir el problema debemos instalar los parches correspondientes en el servidor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si utilizamos un <a href=\"https:\/\/www.hostingtg.com\/blog\/que-es-hosting-compartido\/\">alojamiento compartido<\/a>, normalmente ser\u00e1 el proveedor de hosting quien deba realizar esta operaci\u00f3n.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar WordPress sigue siendo imprescindible, pero debe formar parte de una estrategia de seguridad que tambi\u00e9n incluya la infraestructura donde est\u00e1 alojado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Opini\u00f3n Personal<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Despu\u00e9s de m\u00e1s de veinte a\u00f1os trabajando en el sector del alojamiento web, hay algo que tengo muy claro: <strong>la seguridad de una p\u00e1gina web no deber\u00eda depender \u00fanicamente de que su propietario mantenga actualizado WordPress, PrestaShop o cualquier otra aplicaci\u00f3n.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vulnerabilidades como PHP2Shell demuestran que los problemas tambi\u00e9n pueden aparecer en el coraz\u00f3n del servidor, donde muchos usuarios ni siquiera tienen acceso para intervenir.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por eso, en HostingTG siempre hemos defendido una estrategia de seguridad basada en la prevenci\u00f3n y la protecci\u00f3n por capas. Utilizar Imunify360 en todos nuestros hostings no significa que seamos inmunes a cualquier ataque, pero s\u00ed refleja nuestra manera de entender la seguridad: <strong>anticiparnos a los problemas siempre que sea posible y estar preparados para reaccionar cuando aparecen.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n considero que herramientas como Hardened PHP son especialmente valiosas para mantener protegidas aplicaciones que todav\u00eda necesitan versiones antiguas de PHP. Eso s\u00ed, nunca deber\u00edan convertirse en una excusa para dejar de actualizar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Personalmente, creo que un buen proveedor de hosting no es simplemente quien ofrece servidores r\u00e1pidos, mucho espacio o precios competitivos. Es quien tambi\u00e9n se preocupa por todo lo que ocurre detr\u00e1s de las p\u00e1ginas web de sus clientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Porque las vulnerabilidades seguir\u00e1n apareciendo. La verdadera diferencia estar\u00e1 en c\u00f3mo nos preparamos para afrontarlas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Y ahora me gustar\u00eda conocer tu opini\u00f3n.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00bfCrees que los proveedores de hosting deber\u00edan asumir un papel m\u00e1s activo en la seguridad de las p\u00e1ginas web? \u00bfUtilizas Imunify360, Hardened PHP u otras herramientas para proteger tus servidores? \u00bfHas tenido que enfrentarte alguna vez a una vulnerabilidad cr\u00edtica de PHP?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Te leo en los comentarios.<\/strong> Me gustar\u00eda conocer tu experiencia y descubrir c\u00f3mo afront\u00e1is este tipo de amenazas, porque compartir conocimientos tambi\u00e9n es una excelente forma de mejorar nuestra seguridad.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>C\u00f3mo mitigar la vulnerabilidad cr\u00edtica de PHP con Imunify360 y Hardened PHP Despu\u00e9s de m\u00e1s de veinte a\u00f1os administrando servidores y trabajando en el sector del alojamiento web, hay algo que tengo cada vez m\u00e1s claro: la seguridad de una p\u00e1gina web no depende \u00fanicamente de mantener WordPress, PrestaShop o sus plugins actualizados. Tambi\u00e9n depende, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":10208,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[15],"tags":[786,785,989,1524,1525,1272],"class_list":["post-10207","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia","tag-apache","tag-kernel","tag-php","tag-php2shell","tag-servidores-php","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10207","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/comments?post=10207"}],"version-history":[{"count":2,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10207\/revisions"}],"predecessor-version":[{"id":10210,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/posts\/10207\/revisions\/10210"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media\/10208"}],"wp:attachment":[{"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/media?parent=10207"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/categories?post=10207"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hostingtg.com\/blog\/wp-json\/wp\/v2\/tags?post=10207"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}