PHP2Shell: la vulnerabilidad crítica de PHP que afecta a WordPress y a 7 de cada 10 webs (qué hacer)
El 21 de octubre de 2026, el equipo de PHP publicó una actualización urgente para corregir dos fallos críticos que permiten a un atacante ejecutar código en el servidor de una web sin usuario ni contraseña. Los investigadores que los descubrieron los llaman PHP2Shell. Ya hay intentos de ataque reales.
PHP es el lenguaje con el que funcionan WordPress, WooCommerce, PrestaShop, Joomla, Drupal y la mayoría de las webs de pequeños negocios: según W3Techs, lo usa el 70 % de las webs cuyo lenguaje se conoce.
Resumen rápido:
- Qué es: CVE-2026-109618 y CVE-2026-109619, gravedad 9,2 sobre 10. Permiten tomar el control de la web sin contraseña.
- A quién afecta: a casi cualquier web hecha con PHP, incluido WordPress aunque esté actualizado: el fallo está en PHP, no en WordPress.
- Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores ya no tienen soporte.
- Qué hacer: comprobar qué versión de PHP usa tu web y actualizarla (o pedírselo a tu hosting) cuanto antes.
- Compruébalo gratis: ¿Tu web es vulnerable a PHP2Shell?
Qué es PHP2Shell, explicado sin tecnicismos
PHP es el "motor" que hay detrás de tu web: cada vez que alguien visita una página, PHP la prepara en el servidor. Los dos fallos están en ese motor:
- CVE-2026-109618: cuando PHP se queda sin memoria a mitad de una petición, puede dejar datos a medio preparar y luego tratarlos como válidos.
- CVE-2026-109619: PHP puede "recordar" datos de una visita anterior que ya no deberían existir y reutilizarlos en la siguiente.
Encadenando estos errores con una petición preparada a propósito, un atacante puede ejecutar sus propias órdenes en el servidor: instalar malware, robar la base de datos (clientes, pedidos, contraseñas), enviar spam desde tu dominio o redirigir a tus visitantes. Según el aviso de PHP, en las instalaciones más expuestas el ataque funciona antes de que llegue a ejecutarse WordPress o tu aplicación, así que ningún plugin de seguridad puede pararlo.
¿A quién afecta?
Según Wiz Research, que los descubrió, todas las versiones de PHP publicadas en la última década (desde PHP 5.4) tienen al menos uno de los dos fallos. Están afectadas todas las formas habituales de servir una web con PHP:
- Apache con mod_php: el caso de mayor riesgo, según el propio equipo de PHP.
- PHP-FPM (lo más habitual en hostings modernos con Nginx), php-cgi, LiteSpeed y FrankenPHP.
Los investigadores demostraron el ataque sobre WordPress, Drupal y Joomla. Si tu web es una tienda WooCommerce o PrestaShop, un WordPress con cualquier tema o una intranet en PHP, te afecta igual.
¿Y si mi web está en un hosting compartido? Te afecta igual, pero quien tiene que actualizar PHP suele ser tu proveedor. Algunos, como SiteGround, han aplicado medidas en todos sus servidores; otros dejan elegir la versión de PHP en el panel y no la cambian solos. Por eso hay que comprobarlo.
Versiones de PHP corregidas
| Rama de PHP | Versión con el parche | Soporte de seguridad |
|---|---|---|
| PHP 8.5 | 8.5.12 | Sí |
| PHP 8.4 | 8.4.27 | Sí |
| PHP 8.3 | 8.3.36 | Hasta el 31/12/2027 |
| PHP 8.2 | 8.2.35 | Solo hasta el 31/12/2026 |
| PHP 8.1, 8.0, 7.4 y anteriores | Sin versión oficial | No |
Para PHP 7.4, 8.0 y 8.1, el equipo de PHP ha publicado unos parches mínimos para quien compila PHP por su cuenta, pero esas versiones no reciben actualizaciones normales. Lo recomendable es pasar a PHP 8.4 o 8.3. Si tu web está en PHP 8.2, actualizar a la 8.2.35 corrige PHP2Shell, pero en dos meses tendrás que volver a actualizar.
Ojo: algunas distribuciones de Linux (Debian, Ubuntu, Red Hat…) aplican el parche sin cambiar el número de versión. Si tu servidor anuncia, por ejemplo, PHP 8.2.x, confirma con tu proveedor si ya lleva el parche.
¿Se está explotando ya?
Sí. Amazon detectó un intento de ataque el 17 de octubre, cuatro días antes de que se publicara el fallo, y Cloudflare y varios proveedores de hosting han informado de ataques reales. Cloudflare ha activado reglas de protección para todos sus clientes, incluido el plan gratuito, pero solo actualizar PHP lo corrige del todo. El NCSC británico llega a recomendar desconectar los servidores que no se puedan actualizar.
Cómo saber si tu web está afectada
- Con nuestra comprobación gratuita. Escribe tu dirección en ¿Tu web es vulnerable a PHP2Shell?: en un minuto te decimos si tu web usa PHP o WordPress y si anuncia una versión sin el parche. No ataca tu web: la abre como un visitante normal y lee lo que la propia web muestra.
- En el panel de tu hosting. Busca el apartado "PHP", "Versión de PHP" o "Selector de PHP" (cPanel, Plesk, DirectAdmin y la mayoría de paneles lo tienen).
- Desde WordPress. Ve a Herramientas › Salud del sitio › Información › Servidor y mira la "versión de PHP".
- Preguntando a tu proveedor (te dejamos el mensaje más abajo).
Si la versión es anterior a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o es PHP 8.1 o más antigua, tu web está expuesta.
Qué hacer, paso a paso
- Haz una copia de seguridad completa (archivos y base de datos) antes de tocar nada.
- Actualiza PHP a la versión corregida de tu rama o, mejor, a PHP 8.4. En la mayoría de hostings es un desplegable en el panel.
- Actualiza WordPress, el tema y los plugins. Los que llevan años sin actualizarse son los que suelen fallar con un PHP moderno.
- Revisa la web: portada, formularios, carrito, área de clientes. Si algo falla, vuelve a la versión anterior de PHP solo el tiempo justo para corregirlo.
- Oculta la versión de PHP (
expose_php = Off), para no dar pistas a un atacante. - Si no puedes actualizar hoy, pide a tu proveedor las medidas temporales del aviso de PHP (limitar el tamaño de las peticiones, desactivar
session.upload_progress) o pon la web detrás de un cortafuegos como Cloudflare. Reducen el riesgo, pero no lo eliminan.
Qué hemos visto en 1.290 webs de pequeños negocios españoles
El 22 de octubre revisamos la portada de 1.290 webs de clínicas dentales, peluquerías, centros de estética, talleres y gestorías que ya habíamos analizado en nuestros estudios. Solo leímos lo que cada web muestra a cualquier visitante, sin probar el fallo.
- El 69 % tiene señales claras de funcionar con PHP, y el 65 % es un WordPress.
- El 14 % (178 webs) anuncia públicamente su versión de PHP. De ellas:
- el 47 % usa una versión sin soporte (PHP 8.1 o anterior), y el 28 % sigue en PHP 7 o incluso 5;
- el 42 % usa una rama con soporte, pero sin el parche de PHP2Shell;
- solo el 11 % anunciaba ya una versión corregida.
El dato se tomó un día después del parche, así que es normal que muchas no se hayan actualizado todavía. Lo preocupante son las que llevan años sin actualizar PHP: esas no van a recibir la corrección por sí solas. Y en la mayoría de webs la versión no se ve desde fuera, así que la única forma de saberlo es mirarlo en el hosting.
Qué pedirle a tu hosting (mensaje para copiar)
Hola: por la vulnerabilidad PHP2Shell de PHP (CVE-2026-109618 y CVE-2026-109619), ¿qué versión de PHP usa mi web [tudominio.es] y tiene ya el parche publicado el 21 de octubre de 2026 (8.5.12, 8.4.27, 8.3.36 u 8.2.35)? Si no, ¿podéis actualizarla o decirme cómo hacerlo desde el panel? Gracias.
Señales de que la web puede haber sido atacada
Estos fallos actúan por debajo de WordPress, así que a menudo no dejan rastro en sus registros. Vigila:
- errores 500 o "memoria agotada" repetidos que antes no salían;
- usuarios administradores, archivos o tareas programadas que no reconoces;
- avisos de Google ("este sitio puede haber sido pirateado") o de tu hosting por envío de spam;
- redirecciones a otras webs desde el móvil o desde Google.
Si ves algo así, actualiza PHP igualmente, cambia las contraseñas (hosting, WordPress, base de datos, FTP) y restaura una copia limpia si la tienes.
Te lo solucionamos
Si no sabes qué versión tienes o no quieres arriesgarte a que la web deje de funcionar al actualizar, lo hacemos nosotros:
- copia de seguridad antes de tocar nada;
- actualización de PHP a una versión con parche (8.4 si tu web lo permite);
- actualización y revisión de WordPress, el tema y los plugins, y prueba de formularios, carrito y área de clientes;
- versión de PHP oculta y comprobación final del antes y el después.
Precio cerrado después de ver tu web y tu hosting. Escríbenos por WhatsApp al +34 919 93 43 69 o empieza por la comprobación gratuita.
Preguntas frecuentes
¿Qué es PHP2Shell? Es el nombre de dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, con gravedad 9,2 sobre 10, corregidas el 21 de octubre de 2026. Permiten a un atacante ejecutar código en el servidor de una web sin usuario ni contraseña.
¿Mi web WordPress es vulnerable a PHP2Shell? Si funciona con una versión de PHP anterior a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o con PHP 8.1 o más antiguo, sí. El fallo está en PHP, no en WordPress, así que tener WordPress y los plugins actualizados no basta.
¿Cómo compruebo si mi web está afectada por la vulnerabilidad de PHP? Mira la versión de PHP en el panel de tu hosting o en WordPress (Herramientas › Salud del sitio › Información › Servidor), o usa la comprobación gratuita de PHP2Shell, que te dice en un minuto si tu web usa PHP y si anuncia una versión sin parche.
¿Qué versión de PHP tengo que tener? Como mínimo PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Lo recomendable es PHP 8.4: PHP 8.2 deja de tener soporte el 31 de diciembre de 2026.
¿Mi web se va a romper si actualizo PHP? Si el tema o algún plugin es muy antiguo, puede fallar. Por eso conviene hacer una copia de seguridad, actualizar primero WordPress y los plugins, y probar la web después. Si algo falla, se puede volver a la versión anterior de PHP mientras se corrige.
¿Tengo una web en un hosting compartido: lo arregla el proveedor? Depende del proveedor. Algunos han aplicado medidas en todos sus servidores; otros dejan que cada cliente elija su versión de PHP y no la cambian solos. Pregúntale con el mensaje de este artículo.
¿Cloudflare o un plugin de seguridad me protegen? Ayudan: Cloudflare ha activado reglas contra los ataques conocidos, incluso en el plan gratuito. Pero el fallo se produce antes de que se ejecute WordPress, así que los plugins de seguridad no lo ven, y la única solución completa es actualizar PHP.
¿Me lo podéis arreglar? Sí: copia de seguridad, actualización de PHP, revisión de WordPress, tema y plugins, y comprobación final, con precio cerrado después de ver tu web. Escríbenos al +34 919 93 43 69.
Fuentes
¿Necesitas ayuda con automatización?
Agenda una consulta gratuita y descubre cómo podemos ayudarte a ahorrar tiempo y costes con automatizaciones personalizadas.
Agenda tu consulta gratuita