Atrás
Qué hacemos
Esta semana ha salido a la luz uno de los fallos de seguridad más serios de los últimos años en PHP, el lenguaje sobre el que funcionan casi siete de cada diez webs del mundo. Se llama PHP2Shell y afecta a WordPress, WooCommerce, PrestaShop, October CMS y a cualquier web construida en PHP, la haya hecho quien la haya hecho.
Te contamos qué ha pasado, cómo saber si tu web está expuesta y qué hay que hacer, sin tecnicismos.
PHP2Shell es el nombre que ha recibido la combinación de dos vulnerabilidades críticas dentro del propio PHP, registradas como CVE-2026-109618 y CVE-2026-109619. Tienen una gravedad de 9,2 sobre 10 en la escala CVSS.
Las dos llevan al mismo resultado: en determinadas configuraciones, alguien desde fuera puede ejecutar código en el servidor donde está alojada la web. En algunos entornos basta una petición, sin usuario ni contraseña. A partir de ahí puede modificar la web, robar datos de clientes, instalar software malicioso o usar el servidor para atacar a otros.
El equipo de PHP publicó la corrección el 21 de octubre de 2026. Estaba prevista para el día 22, pero se adelantó porque los identificadores y un vídeo con una prueba de concepto se filtraron la víspera. En el momento del parche no se conocían exploits funcionales, pero ya circulan pruebas de concepto y Cloudflare ha detectado los primeros intentos de ataque.
Según W3Techs, PHP está detrás del 69,3 % de todas las webs. WordPress, el gestor de contenidos más usado, funciona sobre PHP, igual que PrestaShop, Joomla, Drupal, Magento u October CMS.
El problema no está en tu gestor de contenidos ni en tus plugins. Está una capa por debajo, en el propio lenguaje. Por eso actualizar WordPress o los plugins, siendo recomendable, no corrige PHP2Shell. Hay que actualizar PHP.
Depende de la versión de PHP con la que funcione tu web:
Las versiones antiguas son el punto más delicado: no van a recibir corrección. Y no son pocas. Cerca de una de cada tres webs en PHP sigue funcionando con PHP 5 o 7, muchas veces porque se hicieron hace años y nadie las ha vuelto a tocar.
Comprueba la versión de PHP. Sin este dato no se puede decidir nada.
Si estás en 8.2 o superior, actualiza a la versión corregida cuanto antes. Si tu web está en un hosting gestionado, confirma con el proveedor que lo ha hecho.
Si estás en 8.1 o anterior, planifica la migración a PHP 8.3 ya. Suele implicar actualizar también el gestor de contenidos, los plugins y la plantilla, y conviene hacerlo con copia de seguridad y en un entorno de pruebas.
Comprueba que todo funciona después: formularios, pagos, área privada, panel de gestión.
Si no puedes actualizar de inmediato, pon la web detrás de un cortafuegos de aplicaciones (WAF) como medida temporal. No es una solución, es ganar tiempo.
Llevamos más de 20 años desarrollando webs en PHP y desde el primer día estamos revisando servidores y webs de clientes. Hemos preparado un servicio para dejar tu web protegida, la hayamos hecho nosotros o no:
Antes de tocar nada revisamos tu web y te confirmamos el nivel y el precio.
Los buenos proveedores ya están actualizando sus servidores, pero solo pueden aplicar el parche si tu web usa una versión con soporte. Si tu web necesita PHP 7 para funcionar, el proveedor no puede subirla de versión sin riesgo de romperla. Ese trabajo hay que hacerlo en la propia web.
Una actualización Exprés suele quedar resuelta en el día. Una migración desde PHP 7, entre dos y cinco días laborables, según el estado de la web.
Al cambiar de versión de PHP algunas funciones antiguas dejan de existir, por eso hacemos copia de seguridad antes y probamos la web después. Si algo falla, se corrige o se vuelve atrás.
Da igual el gestor: PrestaShop, October CMS, Joomla, Drupal o un desarrollo a medida en PHP están en la misma situación.
Volver al listado
