Si durante estos días has visto noticias sobre una vulnerabilidad crítica de PHP, PHP2Shell o un fallo que podría afectar a millones de páginas web, es normal que te preguntes si también afecta a la web de tu empresa.
La respuesta corta es: puede afectarte, pero no significa que tu web haya sido hackeada ni que vayas a perderla.
Lo importante ahora es comprobar qué versión de PHP utiliza tu servidor, saber si está correctamente actualizada y, sobre todo, no dar por hecho que tener WordPress, PrestaShop o los plugins al día es suficiente.
Vamos a explicarlo sin tecnicismos.
¿Qué ha pasado con PHP?
El 21 de octubre de 2026 se publicaron actualizaciones de emergencia para corregir dos vulnerabilidades críticas de PHP identificadas como CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell.
Ambas han recibido una puntuación de gravedad de 9,2 sobre 10 y pueden permitir, en determinadas condiciones, que un atacante ejecute código en un servidor sin necesidad de disponer previamente de un usuario o una contraseña.
Dicho de una forma mucho más sencilla: se ha encontrado un fallo en el propio motor que utilizan muchísimas páginas web para funcionar.
Y eso es precisamente lo que hace que esta incidencia sea diferente de otras vulnerabilidades habituales.
¿Qué es PHP y por qué puede afectar a mi web?
PHP es uno de los lenguajes que utilizan los servidores para generar páginas web.
No necesitas saber programar en PHP ni haber encargado expresamente una web desarrollada en PHP para utilizarlo.
Por ejemplo, WordPress funciona con PHP. También lo hacen WooCommerce, PrestaShop, Drupal, Joomla y una enorme cantidad de aplicaciones y webs desarrolladas a medida.
Por tanto, una empresa puede tener una web aparentemente normal y estar utilizando PHP cada vez que alguien entra en ella.
En este caso, además, el problema no se encuentra en WordPress, en una plantilla o en un plugin concreto. Está en PHP, por debajo de la aplicación. Los investigadores han demostrado el problema sobre WordPress, Drupal y Joomla, pero precisamente para demostrar que no depende de uno de estos gestores de contenidos.
Entonces, ¿una web WordPress puede estar afectada?
Sí.
Pero conviene hacer una distinción importante.
No es WordPress el que tiene esta vulnerabilidad.
Una web WordPress puede tener el núcleo, Elementor y todos sus plugins perfectamente actualizados y, sin embargo, estar funcionando sobre una versión de PHP que necesite ser corregida.
Y lo mismo puede suceder con una tienda WooCommerce o PrestaShop.
Por eso, en este caso, mirar únicamente las actualizaciones que aparecen dentro del administrador de WordPress no permite saber si la web está protegida.
Hay que revisar también el servidor donde está alojada.
¿Qué versiones de PHP están afectadas?
PHP ha publicado versiones corregidas para sus ramas actualmente soportadas:
- PHP 8.2 → 8.2.35
- PHP 8.3 → 8.3.36
- PHP 8.4 → 8.4.27
- PHP 8.5 → 8.5.12
El propio proyecto PHP recomienda actualizar inmediatamente y señala que la actualización es la solución completa al problema.
Pero aquí hay un matiz especialmente importante.
Tener un número de versión antiguo no permite siempre saber si sigues siendo vulnerable
Algunos proveedores de sistemas operativos y empresas de hosting mantienen versiones anteriores de PHP aplicando sobre ellas sus propios parches de seguridad, lo que se conoce como backporting.
Eso significa que ver simplemente “PHP 7.4”, “PHP 8.1” o incluso una determinada subversión no siempre permite concluir automáticamente si el servidor continúa siendo vulnerable.
Por eso no recomendamos cambiar PHP a ciegas únicamente después de leer una noticia.
Lo correcto es comprobar qué paquete PHP está realmente utilizando el servidor y si el proveedor ha incorporado las correcciones para CVE-2026-109618 y CVE-2026-109619.
¿Tengo que actualizar PHP yo mismo?
Depende de dónde tengas alojada la web.
Si tienes un alojamiento compartido o un hosting administrado, es posible que el propio proveedor se encargue de instalar los parches de seguridad. Pero conviene confirmarlo y no asumir que ya está hecho.
Si tienes un VPS, servidor dedicado o servidor que administras directamente, la responsabilidad puede recaer en tu empresa o en la persona que realiza el mantenimiento.
Una pregunta concreta que puedes enviar a tu proveedor de hosting es:
“¿La versión de PHP que está utilizando mi web está ya corregida frente a las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 (PHP2Shell)?”
Es bastante más útil que preguntar simplemente «¿tengo PHP actualizado?».
¿Debo cambiar inmediatamente mi web a PHP 8.5?
No necesariamente.
Y hacerlo sin comprobar antes la compatibilidad puede provocarte otro problema.
Una web antigua puede utilizar plugins, módulos, temas o código desarrollado a medida que todavía no sean compatibles con las últimas versiones de PHP.
La solución no consiste en seleccionar la versión más alta que aparezca en el panel del hosting y esperar que todo siga funcionando.
Hay que distinguir entre dos cosas:
parchear la vulnerabilidad y actualizar tecnológicamente toda la web.
En algunos servidores el parche puede incorporarse manteniendo la rama actual. En otros será necesario cambiar de versión. Y si la web utiliza software antiguo, antes habrá que comprobar su compatibilidad.
¿Puedo perder mi web por PHP2Shell?
La vulnerabilidad por sí misma no borra tu página web.
El problema es que, si un atacante consigue aprovecharla contra un servidor vulnerable, podría llegar a ejecutar código con los permisos del proceso web. Dependiendo de cómo esté configurado el servidor, eso podría permitir modificar archivos, introducir malware, acceder a determinados datos o utilizar la web para otros ataques.
También se ha demostrado que una de las vulnerabilidades puede permitir acceder a información que se encuentre temporalmente en la memoria del proceso PHP.
Por eso la gravedad es alta.
Pero vulnerable no significa comprometido.
Que tu servidor haya utilizado una versión afectada no demuestra que alguien haya entrado en él.
Son dos comprobaciones diferentes:
- Saber si el servidor era o continúa siendo vulnerable.
- Revisar si existen indicios de que alguien haya intentado aprovechar esa vulnerabilidad.
¿Se están produciendo ataques reales?
Sí se han detectado intentos de explotación.
Amazon ha informado de actividad relacionada con PHP2Shell incluso antes de la publicación oficial de la vulnerabilidad, y diferentes proveedores de infraestructura y seguridad han desplegado medidas específicas para detectar o bloquear estos ataques.
Eso es precisamente por lo que no recomendamos dejar esta revisión para dentro de unas semanas.
No se trata de entrar en pánico ni de desconectar cualquier web que utilice PHP. Se trata de comprobar cuanto antes que el servidor está parcheado.
¿Cloudflare me protege?
Cloudflare ha desplegado reglas de su firewall de aplicaciones web para bloquear ataques relacionados con PHP2Shell y anunció que estas protecciones se habían activado antes de la divulgación pública de la vulnerabilidad.
Es una protección adicional muy útil.
Pero no sustituye a la actualización de PHP.
Un WAF puede bloquear determinadas peticiones maliciosas antes de que lleguen al servidor. Sin embargo, la solución definitiva sigue siendo corregir el software vulnerable.
Tengo WordPress o PrestaShop: ¿qué debería revisar ahora?
Si eres responsable de una pequeña empresa y no administras habitualmente el servidor de tu web, no necesitas empezar a ejecutar comandos ni modificar configuraciones que desconoces.
Necesitas confirmar cuatro cosas:
1. Qué PHP está ejecutando realmente tu web.
No solamente la versión seleccionada en un panel, sino el paquete instalado y su estado de actualización.
2. Si contiene el parche de PHP2Shell.
Especialmente las correcciones para CVE-2026-109618 y CVE-2026-109619.
3. Si existen copias de seguridad recientes.
Una copia de seguridad no soluciona una vulnerabilidad, pero continúa siendo imprescindible ante cualquier incidencia de seguridad.
4. Si el servidor y la web muestran comportamientos anómalos.
Archivos que no deberían existir, modificaciones recientes inexplicables, usuarios nuevos, redirecciones extrañas, procesos desconocidos, errores repetidos o cambios en archivos como .htaccess, robots.txt o configuraciones PHP merecen una revisión.
¿Cómo sé si mi web ya ha sido hackeada?
No existe una señal única.
Una web comprometida puede empezar a mostrar publicidad o redirigir a otras páginas, pero también puede no mostrar absolutamente nada extraño al visitante.
Una revisión razonable después de una vulnerabilidad de este nivel puede incluir los registros del servidor, modificaciones recientes de archivos, procesos PHP, usuarios administrativos, tareas programadas y posibles archivos maliciosos.
Es importante entender la diferencia: actualizar PHP evita continuar expuesto al fallo, pero no demuestra que el servidor estuviera limpio antes de actualizarlo.
Si existe alguna sospecha, hay que revisar ambas cosas.
¿Y si mi web funciona perfectamente?
También conviene comprobarla.
Una vulnerabilidad de seguridad no tiene por qué provocar un error visible.
La página puede cargar con normalidad, recibir formularios y realizar ventas mientras el servidor continúa utilizando software vulnerable.
En seguridad web, «funciona correctamente» y «está correctamente protegido» no significan lo mismo.
No sé qué versión de PHP tengo: ¿qué hago?
Si tienes una web de empresa y no sabes quién mantiene PHP, ese es probablemente el primer problema que conviene resolver.
Pregunta a tu hosting o a la empresa que mantiene tu página.
Y si nadie se responsabiliza actualmente del servidor o no sabes interpretar la respuesta, en Effort podemos revisar tanto la configuración del servidor como el estado de la web para determinar si la incidencia de PHP2Shell te afecta y qué intervención necesita realmente.
El objetivo no debería ser hacer cambios indiscriminados, sino saber primero qué tienes y actuar únicamente donde sea necesario.
Preguntas frecuentes sobre la vulnerabilidad PHP2Shell
¿PHP2Shell afecta a WordPress?
Puede afectar al servidor sobre el que funciona WordPress porque la vulnerabilidad se encuentra en PHP y no en el propio WordPress. Tener WordPress actualizado no sustituye a corregir PHP.
¿PHP2Shell afecta a PrestaShop?
Una instalación de PrestaShop que se ejecute sobre una versión de PHP vulnerable también puede estar expuesta. El problema está en el motor PHP utilizado por el servidor.
¿Actualizar los plugins de WordPress corrige PHP2Shell?
No. Los plugins deberían mantenerse actualizados por seguridad general, pero estas vulnerabilidades concretas pertenecen al núcleo de PHP.
¿Cómo sé qué PHP utiliza mi web?
Puede consultarse desde el panel de alojamiento, desde determinadas herramientas de administración de la web o directamente desde el servidor. Sin embargo, para PHP2Shell no basta siempre con conocer el número de versión: también hay que saber si el proveedor ha aplicado el correspondiente parche de seguridad.
¿Tengo que apagar mi página web?
En la mayoría de casos, el objetivo debe ser aplicar o confirmar rápidamente el parche correspondiente. La decisión de desconectar temporalmente un servicio dependerá del nivel de exposición, de si puede actualizarse inmediatamente y de la criticidad de la instalación.
¿Si actualizo PHP ya estoy completamente seguro?
Corriges estas vulnerabilidades concretas si utilizas una versión o paquete correctamente parcheado. Si el servidor estuvo expuesto anteriormente y existen indicios de ataque, también debería comprobarse que no haya sido comprometido.
¿No sabes si tu web está afectada por PHP2Shell?
En Effort trabajamos con WordPress, WooCommerce, PrestaShop y servidores web. Podemos revisar la versión real de PHP que utiliza tu web, comprobar si dispone de las correcciones necesarias y verificar si existen señales que requieran una revisión adicional.
No se trata de cambiar cosas porque sí. Primero comprobamos el estado real de la instalación y, a partir de ahí, determinamos qué hay que hacer.
Si tienes dudas sobre si esta vulnerabilidad puede afectar a tu página web o no sabes si tu servidor está correctamente protegido, contacta con nosotros. En Effort podemos ayudarte a comprobarlo y orientarte sobre qué medidas conviene tomar, sin alarmismos ni intervenciones innecesarias.