Vulnerabilidad crítica PHP2Shell: ¿Tu servidor Windows está en riesgo?

Hoy, 21 de octubre de 2026, se han publicado dos nuevas vulnerabilidades críticas en el núcleo de PHP. Conocidas por el nombre *PHP2Shell*, estos fallos tienen un impacto directo para servidores expuestos a Internet.

Para ponerlo en contexto, tú operas un servidor con una configuración específica que merece una revisión inmediata. Tu entorno actual utiliza Apache 2.4.41 para Windows, PHP 7.1.33 y WordPress 4.7.29.

Aunque PHP ha publicado correcciones recientes para las versiones modernas como la 8.5.12 o la 8.4.27, tu versión de PHP 7.1.33 es especialmente problemática porque pertenece a una rama sin soporte oficial desde hace años y no recibe actualizaciones ordinarias.

El ataque se puede iniciar mediante una petición HTTP `POST` con datos multipart. Esto significa que el fallo no depende del sistema operativo subyacente; los reportes indican que las instalaciones Windows están igualmente afectadas por esta corrupción de memoria.

Aunque es común pensar que los atacantes automatizados ignoran a Windows, tu servidor puede tener un valor significativo por lo que contiene: WordPress, bases de datos y archivos sensibles. Por ahora, has confirmado que solo tienes abiertos los puertos 80 y 443 en tu router.

Esta configuración reduce la superficie de ataque al mantener MySQL vinculado a `127.0.0.1` y bloqueado desde el exterior. Sin embargo, las medidas temporales no eliminan por completo el riesgo de una vulnerabilidad crítica.

Mi recomendación es priorizar estas acciones: reducir la exposición pública del sitio mediante el cortafuegos mientras preparas una solución, revisar los registros de Apache en busca de solicitudes inusuales y planificar una migración urgente hacia una versión corregida como PHP 8.5.12.