Esta semana no se habla de otra cosa en el mundo de la tecnología: PHP2Shell. Es el nombre que se ha dado a dos vulnerabilidades críticas en PHP, el lenguaje con el que funcionan la gran mayoría de webs del mundo, entre ellas todas las hechas con WordPress, WooCommerce, PrestaShop o Joomla. Medios como El Mundo hablan de un fallo que amenaza a siete de cada diez webs. Te explicamos qué es, si tu web está en riesgo y qué hay que hacer.
¿Qué es PHP2Shell?
Son dos fallos en la forma en que PHP gestiona la memoria, identificados como CVE-2026-109618 y CVE-2026-109619 y con una gravedad de 9,2 sobre 10. Permiten que un atacante, sin usuario ni contraseña y con una simple petición a la web, ejecute su propio código en el servidor. En la práctica, eso puede significar robo de datos de clientes, instalación de malware, envío de spam desde tu servidor o que tu web acabe redirigiendo a páginas fraudulentas.
El equipo de PHP publicó los parches de urgencia el 21 de octubre de 2026 y ya se han detectado intentos de ataque reales en Internet, algunos incluso días antes de que el fallo se hiciera público.
¿Está mi web en riesgo?
Prácticamente cualquier web que funcione con PHP es vulnerable hasta que se actualiza. Estas son las versiones corregidas:
- PHP 8.5.12 o superior
- PHP 8.4.27 o superior
- PHP 8.3.36 o superior
- PHP 8.2.35 o superior
Si tu web usa PHP 8.1, 8.0, 7.4 o anteriores, el problema es mayor: esas versiones ya no reciben actualizaciones oficiales, así que no hay un parche que instalar. La solución segura es pasar a una versión moderna y comprobar que la web sigue funcionando con ella.
Lo que hemos hecho con las webs de nuestros clientes
En cuanto se publicaron los parches actualizamos el servidor donde alojamos y mantenemos las webs de nuestros clientes a las versiones corregidas. Después revisamos una a una las webs que seguían en versiones antiguas sin soporte: las que lo admitían ya funcionan con PHP 8.3, comprobando que todo (formularios, tiendas, carritos) sigue en marcha, y a las que necesitan una puesta al día más profunda les hemos aplicado las medidas de mitigación recomendadas por PHP mientras las actualizamos.
Qué te recomendamos hacer hoy
- Comprueba tu versión de PHP. En WordPress la verás en Herramientas → Salud del sitio → Información → Servidor, o en el panel de tu hosting.
- Actualiza PHP a una de las versiones corregidas. Si tu hosting no lo hace automáticamente, pídeselo hoy mismo.
- Haz una copia de seguridad antes de cambiar nada y revisa la web después: algunos plugins, temas o instalaciones antiguas pueden fallar con versiones nuevas de PHP.
- Actualiza WordPress, plugins y tema. Una web desactualizada es más difícil de pasar a un PHP moderno.
- Si no puedes actualizar ya, tu proveedor puede aplicar medidas temporales de mitigación en la configuración de PHP, aunque los propios responsables de PHP advierten de que ninguna configuración protege por completo.
¿Te ayudamos?
Si no sabes qué versión de PHP usa tu web, si tu hosting no responde o si te da miedo que la web se rompa al actualizar, en Master Informática lo revisamos por ti: comprobamos tu web, hacemos copia de seguridad, actualizamos PHP y verificamos que todo sigue funcionando. Damos servicio a empresas y profesionales de Benalmádena, Marbella y toda la Costa del Sol.
Fuentes: avisos de seguridad del proyecto PHP (CVE-2026-109618 y CVE-2026-109619), Tenable y El Mundo.
Mantenimiento informático