Si estos días has leído titulares sobre un fallo que pone en riesgo «medio internet», se refieren a PHP2Shell. Aquí tienes lo que necesitas saber si tienes una web, sin tecnicismos y sin alarmismo.
Qué ha pasado
PHP es el lenguaje con el que funciona la mayoría de webs del mundo, entre ellas todas las hechas con WordPress, Joomla o Drupal. El 21 de octubre de 2026 se publicaron dos vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619), bautizadas como PHP2Shell.
Su gravedad está en que permiten a un atacante tomar el control del servidor donde está tu web sin necesidad de contraseña y sin que nadie haga clic en nada. Con ese control se puede modificar la web, robar datos o usarla para atacar a otros.
Hay que tomárselo en serio, porque ya se han detectado intentos de explotación, incluso desde días antes de que se publicara el fallo.
¿Está afectada mi web?
Lo está si se cumplen las dos condiciones:
- Tu web usa PHP. Si es un WordPress, casi seguro que sí.
- El servidor tiene una versión de PHP sin parchear. El fallo afecta a las versiones de PHP desde la 5.4 hasta la 8.5.
No se ven afectadas por este fallo concreto las webs que no usan PHP en el servidor, como muchas webs estáticas o hechas a medida con otras tecnologías.
Cómo comprobarlo
- En WordPress: entra en el panel y ve a Herramientas → Salud del sitio → Información → Servidor. Ahí verás la versión de PHP.
- En el panel de tu hosting (cPanel, Plesk o el del proveedor): suele haber un apartado «Versión de PHP» o «Selector de PHP».
Las versiones ya corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12 o posteriores. Si tu versión es anterior a esas dentro de su rama, tu servidor está sin parchear.
Las versiones 7.4, 8.0 y 8.1 ya no tienen soporte oficial: solo han recibido correcciones de código, no versiones listas para instalar. Si tu web sigue en una de ellas, es el momento de actualizar a una versión con soporte.
Qué hacer hoy
- Escribe a tu proveedor de hosting y pregúntale si ya ha aplicado el parche de PHP2Shell en tu servidor. En los alojamientos compartidos, es el proveedor quien actualiza PHP, no tú. Muchos ya lo han hecho.
- Si tienes servidor propio, actualiza PHP a una versión corregida cuanto antes. Si no puedes hacerlo de inmediato, valora desconectar temporalmente la web: es lo que han hecho muchas organizaciones mientras parcheaban.
- Revisa si ha habido intrusiones, porque parchear no elimina un ataque que ya haya ocurrido. Mira si hay:
- usuarios administradores que no conoces;
- archivos o plugins nuevos que no has instalado;
- redirecciones extrañas, anuncios o enlaces de spam en tu web;
- avisos de Google Search Console sobre seguridad.
- Cambia las contraseñas del panel de la web, del hosting y de la base de datos si tienes la mínima sospecha.
- Haz una copia de seguridad antes de tocar nada, y comprueba que tienes copias anteriores al 17 de octubre por si hubiera que restaurar.
- Actualiza también WordPress, el tema y los plugins. No es lo que corrige PHP2Shell, pero cierra otras puertas.
Si usas un firewall web como Cloudflare, ayuda como medida temporal, pero no sustituye a actualizar PHP.
La lección de fondo
Una web no es algo que se hace una vez y se olvida. Detrás hay un servidor, un lenguaje, plugins y un hosting que necesitan actualizaciones. Las webs que tenían mantenimiento contratado se han parcheado en horas; las abandonadas, en el mejor de los casos, siguen expuestas.
Si quieres saber cuándo conviene WordPress y cuándo una web a medida, lo explicamos en WordPress o web a medida.
¿Te ayudamos?
Si no sabes si tu web está afectada o no tienes a nadie que se encargue de ella, en PDCG podemos revisarla: comprobamos la versión de PHP, hablamos con tu hosting, buscamos señales de intrusión y te dejamos todo actualizado. También ofrecemos mantenimiento web para que no tengas que preocuparte la próxima vez, y consultoría si necesitas algo más amplio.
Escríbenos y lo vemos.
Preguntas frecuentes
¿Mi web en WordPress está en peligro?
Si el servidor donde está alojada no tiene PHP actualizado, sí. Pregunta a tu hosting si ya ha aplicado el parche.
Mi hosting dice que ya lo ha parcheado. ¿Tengo que hacer algo más?
Conviene revisar que no haya usuarios, archivos o redirecciones extrañas, porque los ataques empezaron antes de que existiera el parche. Si todo está en orden, no hace falta más.
¿Se puede solucionar con un plugin de seguridad?
No. El fallo está en PHP, por debajo de WordPress. Un plugin puede ayudar a detectar intrusiones, pero la solución es actualizar PHP.
¿Las webs que no usan PHP están a salvo?
De este fallo concreto, sí. Eso no significa que no necesiten mantenimiento: cualquier web tiene piezas que actualizar.
Artículo informativo basado en la información publicada hasta el 27 de octubre de 2026. Lo actualizaremos si hay novedades.