Actualizaciones de seguridad de emergencia en PHP: parches aplicados en todas nuestras plataformas OJS

El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó correcciones de seguridad de emergencia para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como «PHP2Shell». Ambas tienen una puntuación de 9,2 sobre 10 y permiten que un atacante ejecute código en el servidor sin necesidad de autenticarse. Para un resumen en español, puede consultar la cobertura de RedesZone.

No se trata de una vulnerabilidad de OJS, OMP u OPS, sino de PHP, el lenguaje sobre el que funcionan estas plataformas. Por eso afecta a cualquier instalación de PKP, independientemente de su versión, si el servidor no aplicó los parches. El Public Knowledge Project publicó un aviso en el mismo sentido para su comunidad.

Si su revista o repositorio está alojado en Paideia

No necesita hacer nada. Al 22 de octubre completamos la actualización de PHP en toda nuestra infraestructura:

• En el hosting compartido, las versiones de PHP de todos los sitios quedaron actualizadas a sus versiones corregidas, incluidas las ramas anteriores que mantenemos por compatibilidad con versiones antiguas de OJS. Ninguna revista tuvo que cambiar de versión de PHP.
• En los servidores dedicados de clientes y en nuestros servicios propios, aplicamos las actualizaciones el mismo día, con respaldo previo y sin interrupciones del servicio.

Además, revisamos todos los servidores en busca de archivos creados o modificados de forma sospechosa desde la publicación de la vulnerabilidad, sin encontrar indicios de compromiso.

Si su plataforma no está alojada en Paideia

Le recomendamos actuar de inmediato:

1. Actualice PHP a alguna de las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35, disponibles en la página de descargas de PHP. Si usa los paquetes de su distribución de Linux, instale las actualizaciones de seguridad disponibles. En Ubuntu, Canonical publicó los parches el mismo día (USN-8948-1 y USN-8948-2); en esa distribución el número de versión que muestra php -v puede no cambiar, aunque el parche esté aplicado. Si usa Plesk, revise el aviso oficial, que incluye parches para las ramas 7.4, 8.0 y 8.1 y para el propio panel.
2. Reinicie PHP-FPM o el servidor web después de actualizar. Sin el reinicio, el parche no queda activo.
3. Si usa PHP 8.1 o anterior, tenga en cuenta que el proyecto PHP ya no publica correcciones para esas ramas. Algunas distribuciones y paneles ofrecen parches propios; si el suyo no lo hace, planifique la migración a una versión con soporte.
4. Si no puede actualizar de inmediato, como medida provisoria desactive session.upload_progress.enabled en php.ini y reinicie PHP. Esta medida mitiga solo uno de los dos fallos y no reemplaza la actualización. Si su sitio está detrás de Cloudflare, la empresa activó reglas de protección de emergencia para todos sus planes, incluido el gratuito, que también son provisorias.