Parece que Halloween se ha adelantado este año. A diez días de la noche más terrorífica, el mundo PHP nos ha dado un buen susto con la vulnerabilidad PHP2Shell, dos fallos críticos que permiten a un atacante ejecutar código en tu servidor sin iniciar sesión. Más de un administrador de sistemas se ha pasado el día pegado a la pantalla. Y no, esta vez no es un disfraz.
Qué es PHP2Shell (y por qué da más miedo que cualquier disfraz)
El 21 de octubre de 2026 el equipo de PHP publicó una actualización de seguridad de urgencia para corregir dos fallos bautizados como PHP2Shell: el CVE-2026-109618 y el CVE-2026-109619. Los dos tienen una puntuación de gravedad de 9,2 sobre 10 y se pueden explotar sin credenciales. Y para darle más emoción, los detalles se filtraron el día antes de la publicación oficial, así que durante unas horas todo el mundo sabía que el monstruo estaba debajo de la cama pero nadie tenía con qué echarlo.
¿Y qué puede hacer un atacante si consigue entrar? Acceder a la información del servidor, modificar archivos, dejar puertas traseras instaladas, robar credenciales e incluso usar tu servidor como trampolín para atacar a otros sistemas. Vamos, una auténtica película de miedo, y de las que no tienen final feliz si no haces nada.
¿PHP2Shell afecta a WordPress?
Sí, aunque aquí el culpable no es WordPress ni ningún plugin, sino el propio PHP. El fallo afecta a cualquier servidor que ejecute aplicaciones PHP, ya sea WordPress, WooCommerce, Drupal, Magento, Joomla o Laravel. Por eso WordPress no tiene que publicar ninguna actualización. Lo que hay que actualizar es PHP.
Qué versiones de PHP están afectadas y cuáles están corregidas
El problema afecta a cualquier instalación de PHP que atienda peticiones web, se use como se use (PHP-FPM, Apache con mod_php, php-cgi, LiteSpeed, FrankenPHP…). El equipo de PHP solo ha publicado parches para las ramas que todavía tienen soporte, de la 8.2 en adelante:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ojo, no basta con estar en la rama 8.2, 8.3, 8.4 u 8.5. Tienes que tener como mínimo la versión corregida de tu rama, porque estar “más o menos al día” no te salva de nada.
¿Y si tu web usa PHP 8.1 o una versión más antigua?
Aquí viene la parte más terrorífica. PHP 8.1, 8.0, 7.x y anteriores ya no reciben actualizaciones de seguridad, así que no va a haber parche. Y no es un caso raro: según la empresa de seguridad Mallory, hay unos 884.000 servidores conectados a Internet que siguen usando PHP 8.1 o anterior. Muchos zombis sueltos.
Si estás en PHP 8.2, tampoco te confíes. Deja de recibir parches después del 31 de diciembre de 2026, así que es buen momento para planificar el salto a la 8.3 o superior antes de que la historia se repita.
Cómo protegerte de PHP2Shell paso a paso
- Comprueba qué versión de PHP usa tu web. En WordPress está en Herramientas > Salud del sitio > Información > Servidor. También aparece en el panel de muchos hostings y, si tienes acceso por terminal, con el comando
php -v. - Actualiza PHP cuanto antes a la versión corregida de tu rama, o al paquete parcheado de tu distribución Linux si gestionas tu propio servidor.
- Reinicia PHP-FPM o el servidor web después de actualizar. Si no lo haces, el proceso puede seguir usando la versión vulnerable, como esos fantasmas que no saben que la casa ya tiene otros dueños.
- Pregunta a tu proveedor de hosting. Es probable que ya esté actualizando PHP y aplicando reglas en su firewall de aplicaciones web (WAF), pero confírmalo. Cloudflare, por ejemplo, ha publicado reglas WAF de emergencia para estos fallos.
- Si tu versión no tiene parche y no puedes actualizar ya, valora desconectar la web mientras preparas la migración. Es la recomendación del propio equipo de WordPress, respaldada por agencias de ciberseguridad como el NCSC británico.
Un amuleto temporal mientras actualizas
Mientras llega la actualización, muchos administradores han tirado de remedio casero: desactivar la función de progreso de subida de archivos de PHP añadiendo esta línea en php.ini y .user.ini:
session.upload_progress.enabled = OffDespués hay que reiniciar PHP-FPM y el servidor web. También se recomienda limitar las peticiones POST de tipo multipart/form-data en las partes de la web donde no se suban archivos.
Eso sí, son como la ristra de ajos en la puerta. No son medidas oficiales ni solucionan el problema por completo, solo sirven para ganar tiempo. La solución de verdad es actualizar PHP.
Preguntas frecuentes sobre PHP2Shell
¿Tengo que actualizar WordPress por PHP2Shell?
No. El fallo está en PHP, así que actualizar WordPress no te protege. Lo que tienes que actualizar es la versión de PHP de tu servidor.
¿Cómo sé si mi web es vulnerable?
Entra en Herramientas > Salud del sitio > Información > Servidor y mira tu versión de PHP. Si es anterior a la versión corregida de tu rama, o si usas PHP 8.1 o una más antigua, tu web está expuesta.
¿Mi hosting lo soluciona automáticamente?
Muchos proveedores ya están en ello, pero no todos van igual de rápido. Pregúntale al tuyo y comprueba tú mismo la versión para dormir tranquilo.
¿Qué hago si mi web sigue en PHP 7.4?
No va a recibir parche, así que la única salida es migrar a PHP 8.3 o superior. Antes de dar el salto, comprueba que tu tema y tus plugins son compatibles para que la web no se convierta en otra casa encantada.
Estar informado también es seguridad
Este caso demuestra algo que repetimos a menudo: en seguridad, las horas cuentan. Entre la filtración y la publicación del parche pasó menos de un día, y quien se enteró a tiempo pudo revisar sus servidores, aplicar las medidas temporales y actualizar en cuanto salió la corrección. Quien no se enteró sigue expuesto sin saberlo.
Por eso es tan importante seguir fuentes fiables, como el blog oficial de WordPress, php.net o los avisos de seguridad de tu proveedor, y no dejar las actualizaciones para “cuando tenga un rato”. Mantener una versión antigua de PHP te hace perder rendimiento y, cuando aparece un fallo grave como este, te deja directamente sin solución.
Con un buen hosting, el susto se lo llevan otros
Si tienes tu web con un servicio de hosting y mantenimiento WordPress profesional como el nuestro, este tipo de noticias no te tienen que quitar el sueño. Nos encargamos de seguir los avisos de seguridad, revisar las versiones de PHP de los servidores, aplicar las actualizaciones y las medidas de protección necesarias y comprobar que todo sigue funcionando. Tú te enteras de la noticia y, cuando vas a mirar, ya está resuelto.
¿No sabes qué versión de PHP usa tu web o si está afectada? Escríbenos y lo revisamos contigo. Que el único susto de este Halloween sea el de las películas.
