- 1. ¿Qué es la vulnerabilidad PHP conocida como PHP2Shell?
- 2. ¿Cómo saber si tu sitio web está en riesgo por esta vulnerabilidad PHP?
- 3. ¿Qué hacer ante la vulnerabilidad PHP para solucionarla hoy?
- 4. ¿Qué hacer si no puedes actualizar PHP hoy?
- 5. ¿Cómo saber si ya te atacaron y qué hacer después?
- 6. Preguntas frecuentes sobre la vulnerabilidad PHP
- 7. Conclusiones
Respuesta rápida: la vulnerabilidad PHP llamada PHP2Shell (dos fallos críticos de PHP, el lenguaje que usan WordPress y gran parte de internet) se soluciona actualizando PHP en tu servidor a la 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Actualizar WordPress o sus plugins (extensiones) no basta: haz una copia de seguridad y actualiza PHP desde tu hosting (donde vive tu sitio).
¿Tu sitio web funciona con PHP y nadie te ha dicho si ya está protegido? ¡Revisarlo hoy lleva pocos minutos!
Imagina que el edificio donde está tu oficina tiene un defecto en la cerradura de fábrica. Da igual cuánto cuides tu oficina: el arreglo lo hace quien administra el edificio. Algo parecido ocurre con la vulnerabilidad PHP que el equipo de PHP corrigió el 21 de octubre de 2026: el fallo no está en tu sitio, está en el motor del servidor donde vive.
Escribimos esta guía el 26 de octubre de 2026, cinco días después del parche. En este artículo te explicaremos qué es esta vulnerabilidad, cómo saber si tu sitio está en riesgo, qué hacer hoy para solucionarla y qué medidas tomar si no puedes actualizar de inmediato. Si lees esto más adelante, confirma la versión vigente en php.net. Empecemos…
1. ¿Qué es la vulnerabilidad PHP conocida como PHP2Shell?
PHP2Shell es el nombre con que se conocen dos vulnerabilidades críticas del propio lenguaje PHP: CVE-2026-109618 y CVE-2026-109619 (un CVE es un código público que identifica un fallo de seguridad). Según el proyecto PHP, pueden permitir que alguien ejecute comandos en tu servidor sin iniciar sesión, porque el problema está en PHP y no en tu sitio.
Según el aviso de seguridad del proyecto PHP (21 de octubre de 2026), el riesgo alcanza a toda instalación de PHP que atienda peticiones web, y las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Esto significa que no importa qué tan al día tengas WordPress o tus plugins: si el servidor corre una versión sin parche, el hueco sigue ahí.
| Qué se sabe | Detalle |
|---|---|
| Qué es | Dos fallos en el manejo de la memoria de PHP, el motor que ejecuta tu sitio |
| Gravedad | Crítica: 9,2 sobre 10 en la escala CVSS (el sistema que puntúa la gravedad de un fallo), según el aviso del proyecto en GitHub |
| Qué puede pasar | Ejecución de comandos en el servidor sin iniciar sesión; según Wiz, también fuga de datos de la memoria, como contraseñas o claves |
| A quién afecta | A cualquier sitio que funcione con PHP: WordPress, Drupal, Joomla y más. Wiz demostró ataques en las imágenes actuales de los tres |
| Cuál es la solución | Actualizar PHP en el servidor. Actualizar WordPress o los plugins no cambia la versión de PHP |
¿Crees que esto es un asunto solo de informáticos? Según W3Techs (26 de octubre de 2026), el 69,2% de los sitios web cuyo lenguaje de servidor se conoce usa PHP. Esto significa que hablamos de una buena parte de internet, y probablemente también del sitio de tu empresa.
2. ¿Cómo saber si tu sitio web está en riesgo por esta vulnerabilidad PHP?
Tu sitio está en riesgo si funciona con PHP y su servidor no tiene la versión corregida. Si usas WordPress, entra en Herramientas, Salud del sitio, Información y Servidor, y mira la versión de PHP. Si no es 8.5.12, 8.4.27, 8.3.36 u 8.2.35 (o una posterior), pregunta a tu proveedor si ya aplicó el parche.
| Versión de PHP | Estado según php.net | Qué hacer |
|---|---|---|
| 8.5, 8.4 y 8.3 con el parche (8.5.12, 8.4.27, 8.3.36) | Con soporte y corregidas | Confirma que tu número es igual o posterior |
| 8.2 hasta la 8.2.34 | Solo recibe parches de seguridad hasta el 31 de diciembre de 2026 | Actualiza a la 8.2.35 o, mejor, a la 8.3 o superior |
| 8.1 y anteriores (8.0, 7.x, 5.x) | El proyecto PHP ya no las actualiza | Cambia a una versión con soporte, o pide a tu proveedor una confirmación por escrito de que aplica el parche por su cuenta |
Revisar tu versión es como calentar el almuerzo: toma un par de minutos y puede ahorrarte semanas de dolores de cabeza. Para dimensionar el problema: según W3Techs, entre los sitios con PHP, el 26,7% usa la rama 7 y el 7,7% la rama 5. Esto significa que más de uno de cada tres corre una versión que su proyecto ya no actualiza.
Además, WordPress.org recomienda usar PHP 8.3 o superior. Si tu sitio no es de WordPress, pregúntale a tu desarrollador o a tu proveedor qué versión corre en el servidor.
3. ¿Qué hacer ante la vulnerabilidad PHP para solucionarla hoy?
Para solucionarla, actualiza PHP a una versión corregida (8.3.36, 8.4.27 u 8.5.12 son las más recomendables) desde el panel de tu hosting o pidiéndoselo a tu proveedor. Antes haz una copia de seguridad y revisa que tu tema y tus plugins funcionen con la nueva versión. Después confirma que el cambio quedó activo.
- Revisa tu versión actual: en Salud del sitio de WordPress o preguntando a tu proveedor.
- Haz una copia de seguridad: de los archivos y de la base de datos, por si algo falla al cambiar de versión.
- Actualiza WordPress, tu tema y tus plugins: así reduces los conflictos. WordPress.org sugiere comprobarlo con el plugin PHP Compatibility Checker, que detecta muchos problemas, aunque no todos.
- Cambia la versión de PHP: desde el panel de tu hosting, o pide el cambio a tu proveedor si no encuentras la opción.
- Confirma que quedó activo: vuelve a Salud del sitio, comprueba el número de versión y navega tu sitio: formularios, tienda y pagos incluidos.
- Vuelve a revisar en unas semanas: Cloudflare avisa de una vulnerabilidad relacionada (CVE-2026-115560) que afectaría incluso a versiones ya corregidas y se arreglará en la próxima versión de PHP.
Actualizar PHP es como cambiar el aceite del auto: nadie lo celebra, pero nadie quiere descubrir qué pasa cuando se omite. ¿Y quién lo hace en tu caso? Depende de dónde viva tu sitio.
| Dónde está tu sitio | Quién suele actualizar PHP | Qué pedir |
|---|---|---|
| Hosting compartido (plan económico con panel) | Tú, desde el panel, o el soporte del proveedor | Cambiar la versión de PHP a la 8.3 o superior |
| Hosting administrado para WordPress | El proveedor, aunque conviene confirmarlo | Una confirmación por escrito de que el parche ya está aplicado |
| Servidor propio o VPS | Tu administrador de sistemas | Actualizar PHP, reiniciar el servidor web y verificar la versión |
Si estás pensando en cambiar de proveedor, te recomendamos revisar el siguiente post: NO compres un servicio de Hosting sin antes revisar estos puntos. Y si además llevas meses sin actualizar WordPress y sus plugins, te recomendamos revisar el siguiente post: 5 razones por las cuales deberías siempre actualizar tu sitio web. ¡Manos a la obra!
4. ¿Qué hacer si no puedes actualizar PHP hoy?
Aplica las medidas temporales del proyecto PHP y mantén activo un firewall de aplicaciones web (WAF, un filtro que bloquea el tráfico malicioso antes de que llegue a tu sitio). Son una protección parcial: la única corrección completa es actualizar. Si tampoco es posible, el centro de ciberseguridad británico (NCSC) recomienda considerar desconectar el sitio.
| Medida temporal | Qué hace | Su límite |
|---|---|---|
Limitar el tamaño de las peticiones (post_max_size en 8M, o en 32M si tu sitio recibe archivos) | Cierra uno de los caminos de ataque | No hace segura la instalación, según el aviso de PHP |
Desactivar session.upload_progress.enabled y reiniciar los procesos de PHP | Bloquea los caminos confirmados del segundo fallo | No bloquea otras variantes |
Quitar el límite de memoria (memory_limit=-1) | Evita el error de memoria que el atacante puede provocar | Un fallo de memoria del propio servidor aún puede llegar a la zona vulnerable |
| Firewall (WAF) de Cloudflare, si tu sitio pasa por ahí | Bloquea los intentos conocidos de explotación | Solo cubre lo conocido y no aplica si se cambió el nombre de campo de progreso de subida de PHP |
Una medida temporal es como una curita: ayuda mientras llega el médico, pero nadie opera con curitas. Entrégale esta tabla a tu técnico o a tu proveedor, porque son ajustes del servidor y no de tu sitio.
Según Cloudflare (actualización del 23 de octubre de 2026), sus reglas de WAF se aplican a todos los clientes con WAF, incluido el plan gratuito, y aun así recomienda actualizar PHP cuanto antes. Esto significa que un firewall te da tiempo, pero no sustituye el parche.
5. ¿Cómo saber si ya te atacaron y qué hacer después?
Actualizar PHP evita ataques nuevos, pero no saca a quien ya haya entrado. Revisa si hay administradores que no reconoces, archivos modificados sin motivo, errores 500 repetidos o reinicios inexplicables de PHP, y pide a tu proveedor que revise los registros del servidor. Si hay indicios, actúa de inmediato.
| Señal | Qué puede significar | A quién preguntar |
|---|---|---|
| Un administrador de WordPress que no reconoces | Alguien creó un acceso propio | Revísalo tú en Usuarios |
| Archivos nuevos o cambiados sin motivo | Una puerta trasera (backdoor: un acceso oculto que deja el atacante) | Tu desarrollador o tu proveedor |
| Errores 500 repetidos o reinicios inexplicables de PHP | Intentos de explotación, según Wiz | Tu proveedor de hosting |
| Peticiones inusuales con cookies de sesión (PHPSESSID) muy grandes | Indicador técnico documentado por Wiz | Tu proveedor o tu administrador de sistemas |
Según Wiz (21 de octubre de 2026), estas señales aparecen por debajo del nivel de la aplicación, así que los registros de WordPress aportan poco contexto. Esto significa que la revisión de fondo la hace quien administra el servidor.
Si ya sospechas de una intrusión, te recomendamos revisar el siguiente post: Sitio web hackeado: qué hacer y cómo recuperarlo paso a paso. Y si tu sitio maneja datos de clientes o pagos, pide ayuda a un especialista antes de volver a publicarlo.
6. Preguntas frecuentes sobre la vulnerabilidad PHP
¿Actualizar WordPress y los plugins soluciona la vulnerabilidad PHP?
No. PHP se ejecuta en el servidor, no dentro de WordPress, así que actualizar el sitio no cambia su versión. Hay que actualizarla desde el hosting o con tu proveedor, y mantener WordPress y los plugins al día por separado.
¿Qué versión de PHP debo usar para estar protegido?
Una versión corregida: 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o una posterior. Prefiere la 8.3 o superior, que es lo que recomienda WordPress.org, porque el soporte de seguridad de la 8.2 termina el 31 de diciembre de 2026.
¿Esta vulnerabilidad PHP afecta a mi sitio si no uso WordPress?
Sí, si tu servidor ejecuta PHP. Según el aviso del proyecto, el riesgo alcanza a toda instalación que atienda peticiones web, y Wiz demostró ataques también en Drupal y Joomla. Pregunta a tu desarrollador con qué tecnología funciona tu sitio.
¿Cloudflare me protege de la vulnerabilidad PHP?
En parte. Cloudflare activó reglas de firewall para sus clientes con WAF, incluso del plan gratuito, que cubren los intentos conocidos. Aun así recomienda actualizar PHP, porque el firewall es solo una capa adicional y no corrige el fallo.
7. Conclusiones
La vulnerabilidad PHP se soluciona en el servidor: revisa tu versión, haz una copia de seguridad, actualiza PHP a una versión corregida y confirma que el cambio esté activo.
No es momento de entrar en pánico, pero sí de actuar hoy: cuanto antes cierres la puerta, menos tiempo tiene nadie de probar la cerradura. ¡Actualiza y duerme tranquilo!
¿Quieres que tu sitio web funcione sobre una base segura y actualizada? Conoce nuestro desarrollo de sitios web personalizados y explora más guías en la categoría Web. En Hapi Corp somos el aliado estratégico para tu éxito online.
Si necesitas ayuda para revisar o actualizar la versión de PHP de tu sitio web, no dudes en contactarnos. En el team Hapi estamos para ayudarte a mantener tu negocio protegido.
