Vulnerabilidad de PHP (PHP2Shell): ¿afecta a los plugins de Civil 3D y Revit?
PHP corrigió el 21 de octubre de 2026 dos fallas críticas (PHP2Shell). Por qué no tocan tus plugins de Revit y Civil 3D, dónde sí y qué hacer hoy.
Seguridad · Revit · Civil 3D
PHP2Shell: la falla crítica de PHP no toca tus plugins de Civil 3D y Revit, pero puede tocar tu oficina
Qué se corrigió el 21 de octubre de 2026, dónde usa PHP una oficina de ingeniería, el único caso en que un plugin queda expuesto y qué hacer hoy.
¿Qué pasó con PHP el 21 de octubre de 2026?
PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos fallas críticas: CVE-2026-109618 y CVE-2026-109619, con un puntaje CVSS v4.0 de 9.2. Permiten ejecutar código en el servidor sin iniciar sesión. Se las conoce como PHP2Shell.
Afectan a toda instalación de PHP que atiende páginas web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El aviso oficial es claro: no hay una mitigación completa, la única opción segura es actualizar. PHP 8.1 y las versiones anteriores ya no reciben parches del proyecto, y la agencia de ciberseguridad de EE. UU. (CISA) recomienda desconectar esos sistemas hasta actualizarlos.
¿Afecta a los plugins de Civil 3D y Revit?
No. Un plugin en C# es un archivo .dll que Revit o Civil 3D cargan al abrirse. Corre dentro del programa, en tu computadora, sobre .NET. No hay PHP de por medio. Lo mismo vale para los scripts de Dynamo y las rutinas LISP.
En un plugin, la seguridad depende de otras cosas: sus librerías, la versión de .NET sobre la que corre y de dónde se instala. Lo explicamos en seguridad de plugins para Revit y Civil 3D.
¿Dónde sí puede afectar a una oficina de ingeniería?
En todo lo que funciona como página web con PHP:
- La web de la empresa, sobre todo si está hecha con WordPress.
- La intranet o el portal donde se comparten planos y documentos.
- Un sistema interno en un servidor propio que nadie actualiza.
- El servidor del proveedor de un plugin comercial, si de ahí se descargan licencias o actualizaciones.
El último caso es el único que llega a un plugin. Si ese servidor queda comprometido, podría entregar un instalador alterado. Por eso conviene saber de dónde se actualizan tus plugins y si sus instaladores están firmados.
¿Qué hacer hoy?
- Haz la lista de páginas y servidores con PHP: web, intranet, portales y sistemas internos.
- Actualiza PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o pide a tu hosting que confirme que ya lo hizo.
- Si usas PHP 8.1 o anterior, consulta a tu proveedor o saca ese sistema de internet hasta actualizarlo.
- Pregunta al proveedor de cada plugin comercial dónde corren sus licencias y actualizaciones, y si ya parcharon.
- Revisa tus plugins a medida: sus librerías, su versión de .NET y si están firmados.
Fuentes
- Aviso de seguridad de PHP: versiones corregidas, instalaciones afectadas y mitigaciones (21 de octubre de 2026).
- Alerta de CISA sobre las fallas de PHP (21 de octubre de 2026).
Datos verificados el 21 de octubre de 2026.
Recursos relacionados
- Cómo se protege un plugin: seguridad de plugins para Revit y Civil 3D.
- Cómo se construye uno: desarrollo de add-ins para Revit y Civil 3D, la guía completa.
- Para presupuestarlo: cuánto cuesta un add-in para Revit o Civil 3D.
Preguntas frecuentes sobre la vulnerabilidad de PHP y tus plugins
¿La vulnerabilidad de PHP afecta a Revit o Civil 3D?
No. Revit y Civil 3D son programas de escritorio para Windows y sus plugins en C# corren sobre .NET, no sobre PHP. Las fallas CVE-2026-109618 y CVE-2026-109619 afectan a servidores web que ejecutan PHP, como la web o la intranet de la empresa, portales de documentos o servidores de licencias.
¿Qué versiones de PHP corrigen CVE-2026-109618 y CVE-2026-109619?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores ya no reciben parches del proyecto: hay que consultar al proveedor o desconectar el sistema hasta actualizarlo, como recomienda CISA.
¿Mi plugin de Revit o Civil 3D puede verse afectado de alguna forma?
Solo de forma indirecta: si el plugin descarga licencias, datos o actualizaciones de un servidor con PHP y ese servidor queda comprometido, podría entregar un instalador alterado. Pregunta al proveedor dónde corre ese servidor y si ya actualizó, y prefiere plugins con instalador firmado.
¿Qué es PHP2Shell?
Es el nombre con que se conoce a las dos fallas críticas de PHP corregidas el 21 de octubre de 2026, CVE-2026-109618 y CVE-2026-109619, con un puntaje CVSS v4.0 de 9.2. Permiten ejecutar código en un servidor web sin iniciar sesión.
¿Quién revisa la seguridad de los plugins de Revit y Civil 3D?
En Zeist desarrollamos y mantenemos plugins en C# para Revit y Civil 3D: revisamos sus librerías, la versión de .NET sobre la que corren, la firma digital y de dónde se actualizan. El diagnóstico es gratuito y dura una semana.
Sigue leyendo sobre este tema
Desarrollo de add-ins para Revit y Civil 3D: la guía completa en español (2026)
Guía completa para desarrollar add-ins para Revit y Civil 3D: qué son, qué automatizar, C# y la API de Autodesk, cómo se distribuyen y cuánto cuestan.
Cómo crear un plugin para Civil 3D con Claude Code sin ser programador: guía end-to-end 2026
Cómo crear un plugin para Civil 3D con Claude Code sin saber programar: arquitectura, prompts que funcionan, y cómo compilarlo e instalarlo en tu oficina.
Dynamo vs C# en Civil 3D y Revit: cuándo usar cada uno + automatizaciones que ahorran horas
Dynamo o C# para automatizar Civil 3D y Revit: diferencias reales, cuándo conviene cada uno y automatizaciones que ahorran horas, con ejemplos.
¿Cuánto cuesta un add-in para Revit o Civil 3D? Guía de precios y plazos 2026
Cuánto cuesta desarrollar un add-in para Revit o Civil 3D: qué factores mueven el precio y el plazo, y cómo calcular si se paga con las horas que ahorra.