PHP2Shell: qué pasó con PHP y qué preguntarle hoy a tu hosting

El 21 de octubre de 2026, el proyecto PHP publicó una actualización de seguridad que corrige dos fallas críticas, conocidas como PHP2Shell. Si tu web funciona con PHP (y eso incluye a WordPress, WooCommerce y muchísimos otros sitios), lo que toca hoy es corto: mirar qué versión de PHP usa tu sitio, pedirle a tu hosting que confirme que ya está actualizada y, si no te responde, preguntarle a quien te hizo la web. No hace falta cambiar de plataforma ni rehacer nada.

Esta guía explica, sin tecnicismos, qué pasó, a quién afecta y cómo hacer esos tres pasos en pocos minutos.

¿Qué pasó con PHP?

PHP es el lenguaje con el que funcionan, por detrás, una gran parte de los sitios web: WordPress, WooCommerce, Drupal, Magento, Laravel y muchos desarrollos a la medida. Casi nunca se ve, pero está ahí.

El 20 de octubre, el equipo de seguridad de PHP anunció que venía una actualización para dos vulnerabilidades críticas, ambas calificadas con 9,2 sobre 10 en la escala de severidad CVSS v4.0. El 21 de octubre la publicó. Según el aviso oficial de php.net, las dos fallas (CVE-2026-109618 y CVE-2026-109619) pueden permitir la ejecución remota de código sin autenticación. En palabras simples: en ciertas condiciones, alguien desde internet podría hacer que el servidor ejecute instrucciones suyas sin necesitar usuario ni contraseña.

Las versiones que corrigen el problema, según php.net, son estas (o cualquier versión más nueva de la misma rama):

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

La propia php.net dice que no existe una medida que reemplace la actualización: hay ajustes que reducen la exposición mientras tanto, pero actualizar es la única solución completa.

¿A quién afecta? ¿Solo a WordPress?

No. Afecta a cualquier servidor que corra PHP para atender visitas web, no solo a WordPress. El aviso de php.net habla de "todas las instalaciones de PHP que atienden solicitudes web" y menciona varias configuraciones habituales en hostings, incluida una muy común en hosting compartido, en la que considera que el riesgo es mayor.

Ojo: no importa si tu sitio usa PHP 8.2, 8.3, 8.4 u 8.5. Cualquier instalación que todavía no tenga la actualización de seguridad del 21 de octubre está expuesta, también en las versiones más nuevas. Lo único que te deja tranquilo es la confirmación de que esa actualización ya está aplicada.

El aviso de WordPress.org del 21 de octubre lo deja claro: las fallas no son específicas de WordPress, afectan a cualquier servidor con una aplicación PHP y no se requiere ni se planea una actualización de WordPress para esto. Actualizar WordPress y tus plugins sigue siendo buena práctica, pero no resuelve PHP2Shell. Lo que hay que actualizar es PHP, y en la mayoría de los casos eso lo hace el hosting.

Si tu sitio no usa PHP, esta falla puntual no te aplica. Si no sabes con qué está hecha tu web, ese es justamente el tercer paso de esta guía.

¿Qué tan grave es hoy?

Es serio y conviene actuar ya, sin entrar en pánico. La agencia de ciberseguridad de Estados Unidos (CISA) pidió parchear de inmediato y, en su alerta, dijo que hasta ese momento no había observado una explotación exitosa de estas fallas. Eso no es motivo para esperar: es la ventana para actualizar con calma.

También es probable que tu hosting ya esté trabajando en esto. WordPress.org menciona que muchos proveedores están actualizando PHP y poniendo reglas de firewall para frenar ataques mientras tanto. Lo que te toca a ti es confirmarlo.

¿Cuáles son los 3 pasos para revisar tu web hoy?

1. Mira qué versión de PHP usa tu sitio. Si tienes WordPress, entra al panel y ve a Herramientas > Salud del sitio > Información > Servidor. Ahí aparece la versión de PHP. Es el mismo camino que indica WordPress.org. Muchos hostings también la muestran en su panel de administración.
2. Pídele a tu hosting que confirme que ya aplicó la actualización de seguridad de PHP del 21 de octubre, sin importar qué versión uses. Fíjate en el número completo, no solo en "8.3": un 8.3.36 está corregido; uno anterior de esa misma rama, no. Si tu hosting es administrado, es posible que ya haya aplicado la corrección aunque el panel muestre un número corto. Por eso lo más seguro es preguntar por escrito.
3. Si no te responden, pregúntale a quien te hizo la web. La agencia, el freelancer o la persona de tu equipo que administra el sitio debería poder decirte en qué servidor está, qué versión de PHP usa y quién se encarga de actualizarla.

Si quieres, este mensaje sirve para el chat de soporte o el correo de tu hosting:

Hola. Quiero confirmar si mi sitio [tu dominio] ya está protegido contra las vulnerabilidades de PHP conocidas como PHP2Shell. ¿Qué versión exacta de PHP usa hoy mi sitio y ya tiene la corrección publicada el 21 de octubre de 2026? Si usa una versión sin soporte, ¿qué opciones me ofrecen para pasar a una con soporte? Gracias.

Si tienes un VPS o un servidor propio, la actualización normalmente te toca a ti o a quien administra ese servidor.

¿Y si mi sitio usa una versión vieja de PHP?

Según la página de versiones con soporte de php.net, hoy reciben parches las ramas 8.2, 8.3, 8.4 y 8.5. Las versiones 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP. Aun así, por la gravedad de PHP2Shell, el equipo de seguridad de PHP publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quien compila PHP por su cuenta, y algunas distribuciones y proveedores con soporte extendido ofrecen sus propias correcciones. Pregúntale al tuyo, pero tómalo como un arreglo de emergencia: lo recomendable es pasar a una versión con soporte.

Si tu sitio está en una versión sin soporte, pasar a una más nueva es lo recomendable, pero conviene hacerlo con orden, porque puede romper plugins o temas viejos:

• Haz una copia de seguridad completa (archivos y base de datos) antes de tocar nada.
• Actualiza WordPress, el tema y los plugins para que sean compatibles con la versión nueva.
• Cambia la versión de PHP, idealmente primero en una copia de prueba, si tu hosting la ofrece.
• Revisa que lo importante funcione: formularios, carrito, checkout y pagos.

Un dato para planear: php.net indica que la rama 8.2 recibe parches de seguridad hasta el 31 de diciembre de 2026. Si tu sitio está en 8.2, ya corregido, igual conviene ir pensando en el siguiente salto.

Si no se puede actualizar de inmediato, WordPress.org recoge una recomendación de varias agencias nacionales de ciberseguridad: considerar sacar el sitio de línea hasta poder corregirlo. Es una decisión para tomar con quien administra tu web. Si la toman, John Mueller, de Google, recomendó en Bluesky (según Search Engine Roundtable) mostrar una respuesta HTTP 503 servida por fuera de PHP, por ejemplo desde el CDN, en vez de dejar que la página falle o dé error 404 o 500. Así Google entiende que es algo temporal.

¿Qué nos deja PHP2Shell?

Esta alerta va a pasar, como pasan todas. Lo que deja es una pregunta útil para cualquier negocio con web: ¿quién se encarga hoy de que tu sitio esté al día?

En muchas pymes la respuesta honesta es "nadie en particular". La web se hizo hace un tiempo, funciona, y nadie revisa qué versión de PHP usa, cuándo se actualizaron los plugins o dónde está la última copia de seguridad. Eso no se nota hasta que aparece una falla como esta. Lo explicamos con más detalle en El costo oculto de "después lo arreglamos".

Tener la web mantenida no significa vivir actualizando cosas. Significa tener claro quién revisa las actualizaciones, dónde está el respaldo y a quién escribirle cuando sale un aviso como este. Porque una web también se mantiene, no solo se lanza.

Si después de revisar no tienes claro qué versión usa tu sitio o tu hosting no te dio una respuesta concreta, escríbenos y lo miramos contigo.