PHP2Shell: el fallo de PHP que deja entrar en tu web sin contraseña, y qué tienes que pedirle hoy a tu hosting
El 21 de octubre de 2026 el proyecto PHP publicó el arreglo de dos fallos que permiten a cualquiera, sin usuario ni contraseña, ejecutar órdenes en el servidor de una web. PHP es el programa con el que funcionan WordPress, WooCommerce, PrestaShop, Joomla y la mayoría de webs de empresa, así que esto va con casi todo el mundo. Y no es teórico: se está atacando desde antes de que saliera el arreglo. Te contamos qué es, cómo saber en un minuto si tu web está expuesta y qué tienes que pedirle hoy a tu proveedor.
Qué ha pasado, sin tecnicismos
Cuando alguien visita tu web, el servidor arranca PHP para preparar la página. Los dos fallos, CVE-2026-109618 y CVE-2026-109619, están en cómo PHP recoge la memoria cuando una petición sale mal. Un atacante puede hacer que falle a propósito y aprovechar los restos que quedan para colar sus propias órdenes. A partir de ahí puede hacer en el servidor lo mismo que tu web: leer la base de datos de clientes, cambiar páginas, instalar programas o mandar correo en tu nombre.
Los descubrió la empresa de seguridad Wiz en agosto y los llamó PHP2Shell. Les dio para tomar el control de un WordPress, un Drupal y un Joomla recién instalados y al día. Tienen una gravedad de 9,2 sobre 10 y afectan a todas las versiones de PHP desde la 5.4, que es de 2012.
La publicación iba a ser el 22 de octubre, pero los identificadores se filtraron el día 20 y el proyecto PHP la adelantó al 21 por la tarde. Para entonces ya había ataques: Amazon vio el primer intento el 17 de octubre, y ahora lo ven también Cloudflare y la empresa watchTowr.
«Mi WordPress está actualizado». No es lo mismo
Es la confusión más habitual, así que conviene dejarla clara: el fallo no está en WordPress ni en ningún plugin. Está en PHP, que es el programa del servidor que hace funcionar a WordPress. Puedes tener todo al día en el escritorio de WordPress y seguir expuesto.
Lo que hay que actualizar es PHP. En una pyme, eso casi nunca lo hace la empresa: lo hace el proveedor de alojamiento (el hosting), o quien os lleve el servidor. Tu trabajo es asegurarte de que lo ha hecho.
Cómo saber si a tu web le afecta
Hemos preparado un comprobador gratuito: escribes la dirección y te dice si la web usa PHP, qué versión anuncia y si esa versión lleva el arreglo. Solo abre la portada, como un navegador, sin intentar atacarla. Sirve para tu web y para las de tus proveedores.
Si prefieres mirarlo a mano, las versiones con el arreglo son estas:
- PHP 8.5: la 8.5.12 o posterior.
- PHP 8.4: la 8.4.27 o posterior.
- PHP 8.3: la 8.3.36 o posterior.
- PHP 8.2: la 8.2.35 o posterior. Ojo, que esta rama deja de recibir arreglos el 31 de diciembre de 2026.
- PHP 8.1 o anterior: no hay versión oficial con el arreglo. Hay que pasar a una versión con soporte.
Lo que hemos visto en webs de Valencia
El 22 de octubre por la tarde, unas 29 horas después del arreglo, pasamos el comprobador por 40 webs de negocios de Valencia y alrededores: reformas, climatización, clínicas, academias y tiendas. 36 usaban PHP. De las 23 que enseñan su versión, solo 7 tenían el arreglo.
De las otras 16, nueve estaban justo una versión por detrás del arreglo: su hosting sigue las versiones de PHP, pero todavía no había instalado la buena. Las siete restantes seguían en PHP 7.3, 7.4, 8.0 u 8.1, versiones que ya no tienen soporte y para las que no hay versión oficial con el arreglo. Las 13 webs que no dicen su versión pueden estar en cualquiera de los dos grupos. No damos nombres, solo el recuento.
No es un problema solo de aquí. Qualys, una empresa que vigila 167 millones de instalaciones de PHP, solo vio parcheadas 199.000 en las primeras 12 horas.
Qué tienes que pedirle hoy a tu hosting
Un correo corto basta. Lo importante es que la respuesta sea concreta y por escrito: no vale un «estamos en ello».
- ¿Qué versión de PHP usa mi web y lleva ya el arreglo de CVE-2026-109618 y CVE-2026-109619?
- Si no lo lleva, ¿cuándo lo vais a aplicar?
- Si mi web usa PHP 8.1 o anterior, ¿qué opciones me dais para pasarla a una versión con soporte?
- ¿Habéis visto accesos raros a mi web desde el 17 de octubre?
Si el servidor es vuestro
Si tenéis un servidor propio o un VPS, el arreglo os toca a vosotros. Actualizad el paquete de PHP del sistema o la imagen del contenedor, y reiniciad PHP-FPM o Apache: hasta que se reinicia, sigue funcionando el PHP viejo. Comprobad la versión desde la propia web, porque el comando de la consola puede estar mirando otra instalación.
Si usáis el PHP de Ubuntu, Debian o Red Hat, el número de versión no cambia al parchear: lo que cuenta es que el paquete esté al día con el aviso de seguridad de este mes de vuestro sistema.
Si no podéis actualizar hoy, el proyecto PHP da medidas provisionales (desactivar session.upload_progress y quitar el límite de memoria por petición), pero avisa de que no dejan el servidor a salvo. Para versiones sin soporte, la CISA, la agencia de ciberseguridad de Estados Unidos, recomienda directamente desconectarlas o aislarlas hasta migrarlas.
Y si no lo tenía, mira hacia atrás
Como los ataques empezaron antes del arreglo, Amazon recomienda revisar lo ocurrido desde el 17 de octubre. Las señales: procesos de PHP que abren una consola o descargan programas, errores 500 repetidos y, como en cualquier intrusión, usuarios administradores nuevos o ficheros que nadie ha subido. Si aparece algo, cambiad las contraseñas de la web, de la base de datos y de las cuentas de correo que use.
Si no sabes ni quién te aloja la web, que pasa más de lo que parece, escríbenos: lo averiguamos, hablamos con quien toque y te confirmamos que el arreglo está puesto.
¿Quieres que lo revisemos en tu empresa?
Cuéntanos tu caso y te decimos, sin compromiso, cómo lo resolveríamos y cuánto costaría.