Alerta de seguridad · Crítica
Alerta PHP2Shell: vulnerabilidad crítica en PHP que afecta a WordPress y millones de webs
Dos fallos en el propio PHP, el lenguaje con el que funcionan WordPress, Drupal, Joomla o PrestaShop, permiten a un atacante ejecutar código en el servidor sin usuario ni contraseña. Ya hay escaneos masivos buscando webs sin actualizar. Te explicamos qué es, cómo saber si te afecta y qué hacer hoy.
En 30 segundos
- Qué: dos vulnerabilidades críticas en PHP,
CVE-2026-109618yCVE-2026-109619, conocidas como PHP2Shell. - A quién afecta: a webs y aplicaciones que funcionan con PHP sin actualizar: WordPress, WooCommerce, Drupal, Joomla, PrestaShop, Magento, Nextcloud, phpMyAdmin…
- Solución: actualizar PHP a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior) y reiniciar el servicio. Actualizar WordPress o los plugins no basta.
- Urgencia: alta. Los parches salieron el 21 de octubre de 2026 y ya se están detectando ataques.
¿Qué ha pasado?
El 21 de octubre de 2026 el equipo de PHP publicó actualizaciones de emergencia para dos fallos críticos bautizados como PHP2Shell. Los encontraron investigadores de seguridad en agosto con ayuda de modelos de inteligencia artificial y los comunicaron de forma responsable antes de hacerlos públicos. El error llevaba más de una década escondido en el código de PHP.
En cuanto se publicaron los detalles, varias organizaciones de ciberseguridad detectaron escaneos y ataques a gran escala. La prensa internacional lo ha llamado «Black October»: la IA acelera tanto el descubrimiento de vulnerabilidades como la creación de ataques, y el margen entre que sale un parche y empiezan los ataques se ha reducido a horas o pocos días.
¿A quién afecta?
El fallo está en PHP, no en una aplicación concreta. Por eso puede afectar a cualquier cosa que funcione con PHP, aunque el riesgo exacto depende de la configuración de cada servidor:
- Webs y tiendas online: WordPress, WooCommerce, Drupal, Joomla, PrestaShop, Magento.
- Herramientas internas: Nextcloud, phpMyAdmin, webmail Roundcube, intranets y aplicaciones a medida con Laravel o Symfony.
- Equipos con panel web: algunos NAS, routers y otros dispositivos incluyen PHP en su interfaz de administración.
- Webs con PHP 8.1 o anterior: ya no reciben parches oficiales. La única solución es migrar a una versión soportada.
Cómo saber qué versión de PHP usa tu web
- En WordPress: Herramientas → Salud del sitio → Información → Servidor, apartado «Versión de PHP».
- En el panel de tu hosting (cPanel, Plesk, DirectAdmin…): busca «Versión de PHP» o «Select PHP Version».
- En un servidor propio:
php -v. Comprueba también la versión que usa realmente la web (PHP-FPM o el módulo de Apache), que a veces no coincide. - Si no sabes quién gestiona tu web: pide a tu proveedor, por escrito, la versión exacta de PHP y la fecha en que se actualizó.
Versiones corregidas
| Si usas PHP… | Actualiza a |
|---|---|
| 8.5 | 8.5.12 o posterior |
| 8.4 | 8.4.27 o posterior |
| 8.3 | 8.3.36 o posterior |
| 8.2 | 8.2.35 o posterior |
| 8.1 o anterior | Sin parche oficial: migrar |
Qué hacer hoy
- Haz una copia de seguridad reciente y guárdala fuera del servidor antes de tocar nada.
- Actualiza PHP a una versión corregida, o pide a tu hosting que te confirme que ya lo ha hecho.
- Reinicia el servicio (PHP-FPM, Apache o el contenedor) para que la versión nueva entre en uso, y vuelve a comprobar la versión que realmente sirve la web.
- Si no puedes actualizar ya, limita el acceso: desconecta la aplicación de internet o déjala solo accesible por VPN. Un firewall de aplicaciones web (WAF) ayuda como medida temporal, pero no sustituye al parche.
- Busca señales de intrusión desde el 21 de octubre: administradores nuevos que no conoces, archivos
.phpextraños (sobre todo en carpetas de subidas), contenido modificado, picos de tráfico o peticiones raras en los registros. - Si crees que ya te han atacado: no borres nada, aísla el servidor y contacta con un profesional para analizarlo.
Te lo revisamos gratis
Comprobamos desde fuera y sin tocar nada qué tecnología y qué versión expone tu web, y te decimos si estás en riesgo y qué hacer. Si hace falta, actualizamos PHP o lo coordinamos con tu hosting, verificamos que el parche funciona, migramos versiones antiguas y, si ya ha habido intrusión, la analizamos y limpiamos.
Las webs que hacemos no usan PHP: funcionan sin servidor que mantener, sobre la red de Cloudflare, así que este tipo de fallo no les afecta. Si te cansa ir apagando fuegos, también te podemos migrar a algo así.
Preguntas frecuentes
¿Actualizar WordPress soluciona PHP2Shell?
No. El fallo está en PHP, el lenguaje sobre el que funciona WordPress, no en WordPress. Hay que actualizar el PHP del servidor a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o posterior) y reiniciar el servicio.
¿Mi hosting ya lo habrá actualizado?
Muchos proveedores actualizan rápido, pero no todos, y las webs que siguen en PHP 8.1 o anterior no tienen parche oficial. Compruébalo en el panel o pídelo por escrito a tu proveedor.
¿Es verdad que la vulnerabilidad la encontró una inteligencia artificial?
La encontraron investigadores de seguridad con ayuda de modelos de IA y la comunicaron al equipo de PHP antes de publicarla. La IA también acelera que los atacantes conviertan un parche publicado en un ataque, por eso hay que actualizar cuanto antes.
Mi web es solo informativa, ¿también me afecta?
Sí. Un servidor comprometido se usa para enviar spam, alojar páginas de phishing o infectar a tus visitantes, lo que daña tu reputación y tu posicionamiento en Google. Si tu web tiene formularios con datos personales, además hay implicaciones de RGPD.
Fuentes
- PHP: anuncios oficiales de versiones
- NVD: CVE-2026-109618 · CVE-2026-109619
- HKCERT: aviso sobre PHP2Shell
Información orientativa basada en fuentes públicas a fecha de publicación. La situación puede cambiar: confirma siempre los detalles con tu proveedor.