PHP2Shell: la grave vulnerabilidad que afecta a tu web
PHP2Shell es la vulnerabilidad crítica de PHP que ha puesto en alerta a la web mundial. Te explicamos qué es, a quién afecta y cómo proteger tu WordPress.
Esta semana, internet ha vivido uno de esos sustos que recordaremos: dos vulnerabilidades críticas en PHP, el lenguaje sobre el que funciona la mayor parte de la web mundial (WordPress incluido), han obligado a parchear a contrarreloj y a aislar servidores en todo el planeta. Se llama PHP2Shell, y si tu web está hecha con WordPress o cualquier sistema basado en PHP, te interesa saber qué ha pasado y cómo protegerte. Te lo explicamos claro y sin alarmismos.
¿Qué es PHP2Shell?
PHP2Shell es el nombre que se le ha dado a dos vulnerabilidades críticas de seguridad descubiertas en PHP, registradas oficialmente como CVE-2026-109618 y CVE-2026-109619. Ambas son fallos de ejecución remota de código (RCE), el tipo más peligroso, porque permiten a un atacante tomar el control de un servidor web de forma remota y sin necesidad de autenticarse. Han recibido una puntuación de gravedad de 9,2 sobre 10, lo que las clasifica como críticas.
Dicho en cristiano: un atacante podría, aprovechando este fallo, hacerse con el control de una web vulnerable. De ahí la alarma mundial.
Por qué es tan grave (y por qué te afecta)
PHP no es un software cualquiera: es el lenguaje de programación sobre el que está construida una enorme parte de internet. WordPress, WooCommerce, Magento, Drupal y muchísimos sistemas web funcionan sobre PHP. Se estima que afecta a una gran mayoría de las webs del mundo.
Eso explica la magnitud de la reacción:
- El fallo afecta a todas las versiones de PHP desde la 5 en adelante, es decir, prácticamente cualquier web con algo de antigüedad.
- La agencia de ciberseguridad de Estados Unidos (CISA) pidió parchear de inmediato y desconectar lo que no se pudiera actualizar.
- Fue tan serio que hasta la propia web oficial de WordPress llegó a mostrar un aviso de servicios temporalmente no disponibles mientras aplicaba medidas de mitigación.
Si tu web está hecha con WordPress o cualquier tecnología basada en PHP (que es lo más probable), este fallo te afecta directamente.
El dato curioso: lo encontró una inteligencia artificial
Un detalle que ha llamado la atención: esta vulnerabilidad, que llevaba posiblemente años latente en el código de PHP, no la encontró un humano, sino un modelo de inteligencia artificial. Es una señal de hacia dónde va la ciberseguridad: la IA empieza a destapar fallos que habían pasado desapercibidos durante mucho tiempo. Una buena noticia (se encontró y se corrigió) que también recuerda lo importante que es mantener todo actualizado.
Qué debes hacer para proteger tu web
La buena noticia es que ya existe solución. El equipo de PHP publicó parches de emergencia el 21 y 22 de octubre de 2026. Esto es lo que debes hacer:
- Actualiza PHP cuanto antes. Las versiones que corrigen el fallo son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Tu web debe estar en una de ellas (o superior).
- Comprueba qué versión de PHP usa tu web. Normalmente se ve y se cambia desde el panel de tu hosting. Si no sabes cómo, tu proveedor de alojamiento o tu agencia pueden hacerlo.
- Contacta con tu hosting. Muchos proveedores serios ya han aplicado mitigaciones a nivel de servidor. Confirma que tu web está cubierta.
- Mantén WordPress, plugins y temas actualizados. La seguridad es una cadena: de nada sirve parchear PHP si el resto está desactualizado.
- Haz una copia de seguridad. Antes de cualquier actualización importante, un backup te da tranquilidad.
- Si usas una versión de PHP muy antigua (5, 6, 7), actúa ya. Esas versiones ya no reciben soporte y son las más expuestas. Es el momento de actualizar a una versión moderna.
Cómo saber si tu web está en riesgo
Si no estás seguro de si tu web se ve afectada, estas son las señales de que debes revisarla con urgencia:
- Tu web está hecha con WordPress, WooCommerce, PrestaShop, Magento o Drupal (todos usan PHP).
- No sabes en qué versión de PHP funciona tu web.
- Hace tiempo que no actualizas el sistema, los plugins o la versión de PHP.
- Tu hosting es básico y no has recibido ninguna comunicación sobre este tema.
Si te reconoces en alguno de estos puntos, lo más prudente es revisar tu web (o pedir que la revisen) cuanto antes.
Preguntas frecuentes
¿Me afecta PHP2Shell si tengo un WordPress?
Muy probablemente sí, porque WordPress funciona sobre PHP. La solución es asegurarte de que tu servidor usa una versión de PHP ya parcheada (8.2.35, 8.3.36, 8.4.27 o 8.5.12 o superior) y mantener todo actualizado.
¿Han robado datos o hackeado webs con este fallo?
En el momento de publicarse los parches no se había reportado explotación activa generalizada, pero el riesgo era tan alto que se actuó de forma preventiva y urgente en todo el mundo. Por eso es clave actualizar sin demora.
¿Cómo sé qué versión de PHP usa mi web?
Normalmente desde el panel de control de tu hosting (cPanel, Plesk o similar), en la sección de PHP. Si no lo encuentras, tu proveedor de hosting o tu agencia pueden decírtelo y actualizarlo.
¿Tengo que hacer algo yo o lo hace mi hosting?
Depende del hosting. Los proveedores serios suelen aplicar mitigaciones y facilitar la actualización, pero la responsabilidad de que tu web esté en una versión segura y todo actualizado es tuya (o de quien gestione tu web).
¿Esto volverá a pasar?
La seguridad en la web es un proceso continuo, no algo de una sola vez. Aparecerán nuevas vulnerabilidades, y la mejor defensa es mantener siempre todo actualizado y contar con quien vigile tu web.
Conclusión
PHP2Shell ha sido un recordatorio a lo grande de algo que a veces olvidamos: la seguridad de una web no es un extra, es una necesidad. La buena noticia es que el fallo ya tiene solución, y que protegerse es tan sencillo como mantener todo actualizado y en manos de quien sepa. Si tu web funciona con WordPress o cualquier sistema basado en PHP, no lo dejes para mañana: revisa que estás en una versión segura.
¿No sabes si tu web está protegida frente a PHP2Shell? En Chillypills revisamos, actualizamos y blindamos webs WordPress para que duermas tranquilo. Cuéntanos tu caso y nos aseguramos de que tu web está a salvo.
