Vulnerabilidad crítica de PHP · octubre 2026
¿Tu web está afectada por la vulnerabilidad de PHP (PHP2Shell)?
Dos fallos críticos de PHP permiten tomar el control de un servidor sin contraseña y ya se están explotando. PHP está detrás de 7 de cada 10 webs, WordPress incluido. Escribe tu dirección y en un minuto te decimos si tu web usa PHP, qué versión anuncia y qué tienes que hacer. Gratis.
PHP2Shell: preguntas frecuentes
¿Qué es PHP2Shell?
Es el nombre de dos vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619, gravedad 9,2 sobre 10) publicadas el 21 de octubre de 2026. Un atacante puede ejecutar código en el servidor de la web sin usuario ni contraseña, antes incluso de que se ejecute WordPress o la aplicación.
¿Mi web WordPress está afectada?
Si tu WordPress funciona con una versión de PHP anterior a la corregida, sí: el fallo está en PHP, no en WordPress ni en los plugins, así que tener WordPress actualizado no basta. Los investigadores lo demostraron sobre WordPress, Drupal y Joomla.
¿Qué versiones de PHP están corregidas?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores (7.4, 8.0…) ya no tienen soporte oficial: hay parches mínimos para quien compila PHP, pero lo recomendable es pasar a PHP 8.4 o 8.3.
¿Cómo sé qué versión de PHP tiene mi web?
Esta comprobación te la dice si tu web la muestra. Si no, mírala en el panel de tu hosting (apartado PHP), en WordPress en Herramientas › Salud del sitio › Información › Servidor, o pregúntasela a tu proveedor.
¿Esta comprobación ataca mi web?
No. Abrimos la portada como un visitante normal y leemos lo que la propia web muestra (cabeceras, cookies y si es WordPress). No probamos el fallo ni enviamos nada raro.
¿Me lo podéis solucionar?
Sí. Hacemos copia de seguridad, actualizamos PHP a una versión con parche, comprobamos que WordPress, el tema y los plugins siguen funcionando y ocultamos la versión. Precio cerrado después de ver tu web y tu hosting.
Todo el detalle (versiones, qué pedirle a tu hosting y qué hacer si no puedes actualizar ya) en la guía de PHP2Shell para webs y WordPress.
Además, revisamos
Cookies y servicios de seguimiento que se cargan antes de que el visitante acepte, y si el aviso deja rechazar (LSSI y guía de la AEPD).
Enlaces al aviso legal y a la política de privacidad desde la portada (LSSI art. 10 y RGPD).
Accesibilidad (WCAG 2.1 AA): contraste, textos alternativos, formularios y navegación con teclado.
Seguridad: HTTPS, contenido mixto, cabeceras de protección y si la web usa PHP o WordPress y anuncia una versión afectada por PHP2Shell.
Preguntas frecuentes
¿Es gratis de verdad?
Sí. No hace falta registrarse. Solo si quieres el informe en PDF te pedimos un email para enviártelo.
¿Qué páginas revisáis?
La página de inicio, tal como la ve un visitante nuevo que no ha aceptado ni rechazado nada. Es donde se cargan casi siempre las cookies y donde deben estar los enlaces legales.
¿Es una auditoría legal?
No. Es una comprobación automática que señala indicios para revisar. No analiza el texto de tus políticas ni el resto de páginas, y no sustituye el consejo de un abogado ni una auditoría de accesibilidad manual.
¿Qué hacéis con los datos?
Guardamos la dirección de la web comprobada y su resultado. La IP desde la que se pide, solo 90 días, para evitar abusos. El email, solo si lo pides, para enviarte el informe.
Comprobación orientativa con un navegador real y axe-core (WCAG 2.1 AA). Máximo 5 comprobaciones al día por persona.