En estos momentos se está investigando activamente una grave vulnerabilidad de seguridad en PHP. Aquí te explico cómo comprobar tu sitio web en cinco minutos y qué hacer después.
Me he pasado toda la semana revisando uno a uno los servidores de mis clientes, y los propietarios de las webs no paraban de hacerme la misma pregunta: «¿Tengo que preocuparme por PHP2Shell?». Respuesta corta: quizá. Aquí te explico cómo averiguarlo en cinco minutos.
// En resumen
- PHP2Shell son dos fallos críticos en PHP, el lenguaje en el que se ejecuta WordPress. Pueden permitir que un desconocido ejecute su propio código en tu servidor.
- Actualizar WordPress o tus plugins no lo soluciona. Hay que actualizar la versión de PHP de tu servidor.
- Versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35, todas lanzadas el 21 de octubre de 2026.
- Los atacantes ya están probando sitios web en busca de esta vulnerabilidad. Solucionalo esta semana, no «algún día».
¿Qué es lo que realmente falla?
Imagina que tu página web es como una casa. WordPress son los muebles, los plugins son los electrodomésticos y PHP son los cimientos. PHP2Shell es una grieta en los cimientos. Un sofá nuevo no lo va a arreglar.
Las dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) tienen una puntuación de 9,2 sobre 10 en cuanto a gravedad. En algunas configuraciones de servidor, alguien puede hacerse con el control de tu servidor sin necesidad de iniciar sesión. Así, podrían modificar tus páginas, leer los datos de tus clientes o colar malware en tu sitio web sin que te des cuenta.
//// Situación actual (28 de octubre)
Las empresas de seguridad están detectando un montón de ataques automatizados que prueban si los sitios web son vulnerables a PHP2Shell. Se han pirateado servidores de prueba sin parches que se habían configurado como cebo. La agencia de ciberseguridad estadounidense CISA ha incluido oficialmente ambas vulnerabilidades en su lista de las que se están utilizando en ataques reales. La buena noticia: Wordfence, que protege más de 5 millones de sitios de WordPress, aún no ha confirmado que ningún sitio de WordPress haya sido hackeado de esta forma. Esa es tu oportunidad para solucionarlo.
La comprobación de 5 minutos
- Inicia sesión en tu panel de control de WordPress.
- Ve a Herramientas > Estado del sitio > Información.
- Abre la sección «Servidor» y busca la versión de PHP.
- Compárala con la tabla que aparece a continuación.
| Tu versión de PHP | Estado | Qué hacer |
| 8.5, 8.4, 8.3 | Hay una solución disponible | Actualiza a la versión 8.5.12, 8.4.27 o 8.3.36 |
| 8.2 | Ya está arreglado; el soporte técnico termina el 31 de diciembre de 2026 | Actualiza ahora a la versión 8.2.35 y pasa a la 8.3 o superior antes de Año Nuevo |
| 8.1, 8.0, 7.4 | Se ha agotado el stock | No hay ninguna actualización oficial. Cambia a PHP 8.3 u 8.4 |
| 7.3 o versiones anteriores | Se ha agotado el stock | Migrar. Probablemente la web también necesite una actualización. |
Si tu página web se creó hace unos años y nadie la ha mantenido desde entonces, lo más probable es que esté en las dos últimas filas.
Cómo actualizo la web de un cliente, paso a paso
Este es mi proceso, para que sepas cómo es una actualización segura, independientemente de quién la haga:
- Primero, haz una copia de seguridad completa. Archivos y base de datos, guardados en algún sitio que no sea el servidor.
- Copia de prueba. Para cambios importantes (por ejemplo, de PHP 7.4), primero actualizo una copia del sitio, nunca la que está en producción.
- Actualiza los plugins y el tema. Los plugins antiguos son los que suelen dar problemas con una versión más reciente de PHP.
- Cambia a PHP. Normalmente basta con un clic en el panel de control del alojamiento.
- Prueba todo lo que te da dinero: formularios de contacto, widgets de reservas, pagos online, suscripciones al boletín y el área de administración.
- Vigílalo durante unos días. Fíjate en los registros de errores yen cualquier cosa rara.
¿No puedes actualizarlo ya mismo? Un servicio de cortafuegos como Cloudflare delante de tu sitio web puede bloquear gran parte del tráfico de ataques por ahora. Te da un respiro. Pero no es una solución definitiva.
Señales de que tu sitio web ya podría estar afectado
Aún no hay casos confirmados en WordPress, pero si tu PHP está desactualizado, fíjate en lo siguiente:
- Usuarios con derechos de administrador en WordPress que no reconoces
- Archivos o plugins que nunca has instalado
- Visitantes (sobre todo desde el móvil) que son redirigidos a sitios web extraños
- Advertencias de Google en los resultados de búsqueda o en Search Console
- Tu proveedor de alojamiento te avisa de una carga elevada del servidor o de que se está enviando spam
Si ves alguno de estos mensajes, no te limites a actualizar y seguir adelante. Primero hay que limpiar la página.
Cómo puedo ayudarte
Tanto si te he creado yo la web como si no:
- Revisión y actualización, desde 60 €: una hora para revisar tu página web y el servidor, y otra hora para la actualización y las pruebas. A partir de ahí, se aplica la tarifa por hora si hace falta más tiempo.
- Mantenimiento, 75 € al mes: actualizaciones, copias de seguridad y supervisión. La próxima vez que haya noticias como estas, será cosa mía, no tuya.
- Limpieza de sitios web pirateados, desde 300 €: eliminación de malware y reparación. (Sí, el mantenimiento sale más barato.)
Antes de tocar nada, te digo qué necesita tu página web y cuánto cuesta.
Los proveedores de alojamiento actualizan el servidor, pero solo pueden cambiarte a una versión más reciente de PHP si tu página web es compatible con ella. Si tu tema o tus plugins necesitan una versión antigua de PHP, primero hay que actualizar la propia página web. Eso es cosa de los desarrolladores web, no del alojamiento.
Yo no lo haría. Los hackers ya están buscando vulnerabilidades. En una versión bastante reciente de PHP, la actualización suele tardar menos de un día.
A menudo, sí. PHP 8.3 y 8.4 son notablemente más rápidos que la versión 7.x, así que la corrección de seguridad puede traer consigo una pequeña mejora en la velocidad.
No. Ya me he puesto con ello y te avisaré cuando tu página esté lista.
