Se estes días liches titulares sobre un fallo que pon en risco «medio internet», refírense a PHP2Shell. Aquí tes o que necesitas saber se tes unha web, sen tecnicismos e sen alarmismo.
Que pasou
PHP é a linguaxe coa que funciona a maioría das webs do mundo, entre elas todas as feitas con WordPress, Joomla ou Drupal. O 21 de outubro de 2026 publicáronse dúas vulnerabilidades críticas en PHP (CVE-2026-109618 e CVE-2026-109619), bautizadas como PHP2Shell.
A súa gravidade está en que permiten a un atacante tomar o control do servidor onde está a túa web sen necesidade de contrasinal e sen que ninguén faga clic en nada. Con ese control pódese modificar a web, roubar datos ou usala para atacar a outros.
Hai que tomalo en serio, porque xa se detectaron intentos de explotación, mesmo desde días antes de que se publicase o fallo.
Está afectada a miña web?
Estao se se cumpren as dúas condicións:
- A túa web usa PHP. Se é un WordPress, case seguro que si.
- O servidor ten unha versión de PHP sen parchear. O fallo afecta ás versións de PHP desde a 5.4 ata a 8.5.
Non se ven afectadas por este fallo concreto as webs que non usan PHP no servidor, como moitas webs estáticas ou feitas a medida con outras tecnoloxías.
Como comprobalo
- En WordPress: entra no panel e vai a Ferramentas → Saúde do sitio → Información → Servidor. Aí verás a versión de PHP.
- No panel do teu hosting (cPanel, Plesk ou o do provedor): adoita haber un apartado «Versión de PHP» ou «Selector de PHP».
As versións xa corrixidas son 8.2.35, 8.3.36, 8.4.27 e 8.5.12 ou posteriores. Se a túa versión é anterior a esas dentro da súa rama, o teu servidor está sen parchear.
As versións 7.4, 8.0 e 8.1 xa non teñen soporte oficial: só recibiron correccións de código, non versións listas para instalar. Se a túa web segue nunha delas, é o momento de actualizar a unha versión con soporte.
Que facer hoxe
- Escríbelle ao teu provedor de hosting e pregúntalle se xa aplicou o parche de PHP2Shell no teu servidor. Nos aloxamentos compartidos, é o provedor quen actualiza PHP, non ti. Moitos xa o fixeron.
- Se tes servidor propio, actualiza PHP a unha versión corrixida canto antes. Se non podes facelo de inmediato, valora desconectar temporalmente a web: é o que fixeron moitas organizacións mentres parcheaban.
- Revisa se houbo intrusións, porque parchear non elimina un ataque que xa ocorrese. Mira se hai:
- usuarios administradores que non coñeces;
- arquivos ou plugins novos que non instalaches;
- redireccións estrañas, anuncios ou ligazóns de spam na túa web;
- avisos de Google Search Console sobre seguridade.
- Cambia os contrasinais do panel da web, do hosting e da base de datos se tes a mínima sospeita.
- Fai unha copia de seguridade antes de tocar nada, e comproba que tes copias anteriores ao 17 de outubro por se houbese que restaurar.
- Actualiza tamén WordPress, o tema e os plugins. Non é o que corrixe PHP2Shell, pero pecha outras portas.
Se usas un firewall web como Cloudflare, axuda como medida temporal, pero non substitúe a actualizar PHP.
A lección de fondo
Unha web non é algo que se fai unha vez e se esquece. Detrás hai un servidor, unha linguaxe, plugins e un hosting que necesitan actualizacións. As webs que tiñan mantemento contratado parchearonse en horas; as abandonadas, no mellor dos casos, seguen expostas.
Se queres saber cando convén WordPress e cando unha web a medida, explicámolo en WordPress ou web a medida.
Axudámosche?
Se non sabes se a túa web está afectada ou non tes a ninguén que se encargue dela, en PDCG podemos revisala: comprobamos a versión de PHP, falamos co teu hosting, buscamos sinais de intrusión e deixámosche todo actualizado. Tamén ofrecemos mantemento web para que non teñas que preocuparte a próxima vez, e consultoría se necesitas algo máis amplo.
Escríbenos e vémolo.
Preguntas frecuentes
A miña web en WordPress está en perigo?
Se o servidor onde está aloxada non ten PHP actualizado, si. Pregúntalle ao teu hosting se xa aplicou o parche.
O meu hosting di que xa o parcheou. Teño que facer algo máis?
Convén revisar que non haxa usuarios, arquivos ou redireccións estrañas, porque os ataques comezaron antes de que existise o parche. Se todo está en orde, non fai falta máis.
Pódese solucionar cun plugin de seguridade?
Non. O fallo está en PHP, por debaixo de WordPress. Un plugin pode axudar a detectar intrusións, pero a solución é actualizar PHP.
As webs que non usan PHP están a salvo?
Deste fallo concreto, si. Iso non significa que non necesiten mantemento: calquera web ten pezas que actualizar.
Artigo informativo baseado na información publicada ata o 27 de outubro de 2026. Actualizarémolo se hai novidades.