PHP2Shell: la vulnerabilidad crítica de PHP y cómo proteger tu web hoy
Punto clave: PHP publicó hoy un parche de emergencia por PHP2Shell, dos fallas críticas que permiten tomar el control del servidor sin contraseña. Actualiza PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, siempre con un respaldo antes.
Hoy, 21 de octubre de 2026, PHP publicó una actualización de emergencia por dos fallas críticas conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Permiten que un atacante ejecute código en tu servidor sin necesidad de usuario ni contraseña, y afectan a prácticamente cualquier web hecha con PHP: WordPress, WooCommerce y la mayoría de las tiendas online. Te explico qué pasó, cómo saber si tu web está en riesgo y qué hacer hoy mismo, sin romperla.
Qué es PHP2Shell, en palabras simples
PHP es el lenguaje con el que funciona tu web. Estas dos fallas están en el propio PHP, no en un plugin: tienen que ver con cómo PHP maneja la memoria al recibir una visita. Un atacante puede enviar peticiones preparadas y lograr que el servidor ejecute lo que él quiera, por ejemplo instalar un programa malicioso, robar la base de datos de clientes o redirigir tu web.
- Gravedad: crítica, 9.2 sobre 10 (CVSS v4.0).
- Sin autenticación: no hace falta entrar a tu panel; basta con que la web esté en internet.
- Se filtró antes del parche: los detalles circularon el 20 de octubre, antes de que existiera la corrección, por eso PHP adelantó la publicación.
¿A quién afecta?
A toda instalación de PHP que atiende visitas web: con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. En la práctica, si tu web es WordPress, WooCommerce, Joomla, PrestaShop, Laravel o un sistema hecho a medida en PHP, tienes que revisarla. La configuración con Apache y mod_php es la más expuesta: PHP informó un ataque comprobado que funciona antes de que se ejecute el código de tu web.
Versiones de PHP que ya están corregidas
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si tu web usa PHP 8.1 o una versión más antigua (8.0, 7.4…), esas versiones ya no reciben actualizaciones oficiales: PHP solo publicó correcciones de código para que las apliquen los administradores de servidores. La agencia de ciberseguridad de Estados Unidos (CISA) recomienda que, si no puedes actualizar, saques la web de línea hasta corregirla.
¿Ya la están usando para atacar?
La información todavía no es pareja: CISA indicó que, al momento de su alerta, no había observado ataques, pero Cloudflare informó tráfico de ataque dirigido a estas fallas. Con detalles filtrados y una falla tan grave, lo prudente es tratarlo como urgente.
Qué hacer hoy, paso a paso
1. Haz un respaldo antes de tocar nada
Copia de archivos y de la base de datos. Hay sistemas muy viejos y webs en WordPress que, si se actualizan de golpe, se dañan, sobre todo si saltas de una versión antigua de PHP a una nueva. Con un respaldo puedes volver atrás en minutos.
2. Revisa qué versión de PHP usa tu web
En WordPress: Herramientas → Salud del sitio → Información → Servidor. También aparece en el panel de tu hosting (el «Administrador de PHP» de cPanel, SiteGround, Hostinger y otros). Fíjate en el número completo: tiene que ser igual o mayor que los de la lista de arriba.
3. Actualiza PHP a una versión corregida
- Hosting compartido o administrado: en muchos casos el proveedor actualiza solo, pero no lo des por hecho. Revisa el número de versión y, si sigue igual, escribe a soporte pidiendo la actualización por PHP2Shell.
- Servidor propio (VPS): instala la actualización de PHP de tu sistema y reinicia PHP-FPM o Apache; si no reinicias, siguen corriendo los procesos viejos.
- PHP 8.1 o anterior: es el momento de subir a 8.3 u 8.4, pero de a un paso y probando: primero actualiza WordPress, plugins y tema, y revisa portada, productos, carrito y pago después de cada cambio.
4. Si hoy no puedes actualizar: medida temporal
Pide a tu hosting (o hazlo en tu servidor) que agregue en el php.ini o en la configuración del pool de PHP-FPM:
session.upload_progress.enabled = 0Y que reinicie todos los procesos de PHP. Debe ir en la configuración del servidor: no sirve ponerlo desde el código de la web ni en un .user.ini. Ojo: bloquea los caminos de ataque conocidos de una de las fallas, pero no es una solución completa. Lo único que corrige el problema es actualizar. Un firewall de aplicaciones web (WAF), como el de Cloudflare, puede dar una protección adicional mientras tanto.
5. Revisa que no te hayan atacado
Señales a vigilar: archivos PHP nuevos que no reconoces, usuarios administradores que no creaste, redirecciones extrañas, la web más lenta de lo normal o avisos de tu hosting. En servidores propios, procesos de PHP que lanzan comandos o descargan programas son una alarma clara. Si ves algo así, guarda un respaldo y pide ayuda antes de seguir.
¿No te dedicas a programar? Te ayudo gratis
Si no sabes qué versión de PHP tiene tu web, tu hosting no te responde o tu sistema es antiguo y te da miedo actualizarlo, escríbeme y lo reviso sin costo: te digo si tu web está expuesta a PHP2Shell y qué conviene hacer primero, sin compromiso.
Pedir ayuda gratis por WhatsApp · Hacer la auditoría web gratis
Si quieres saber quién está detrás de LinternaWeb, aquí te cuento quién soy y cómo trabajo.
Preguntas frecuentes
¿Mi WordPress está afectado por PHP2Shell?
La falla no está en WordPress sino en PHP, el lenguaje que lo hace funcionar. Si tu web usa una versión de PHP anterior a las corregidas (8.5.12, 8.4.27, 8.3.36 u 8.2.35), está expuesta aunque WordPress y los plugins estén al día.
¿Alcanza con actualizar los plugins?
No. Actualizar plugins es buena práctica, pero esta falla solo se corrige actualizando PHP en el servidor.
¿Actualizar PHP puede romper mi web?
Si pasas a una versión corregida de la misma rama (por ejemplo de 8.3.x a 8.3.36), el riesgo es bajo. Si vienes de PHP 8.1 o anterior y tienes que cambiar de rama, algunos plugins o temas viejos pueden fallar: por eso, respaldo primero y de a un paso.
Fuentes
¿Te sirvió? Compártelo con alguien que lo necesite.
Enviar por WhatsApp
